브라우저는 응답에 포함된 헤더를 통해 자체적으로 컨텐츠를 차단 또는 변경하는 기능이 구현되어 있음.
[설정의 종류 아래 정리]
1. Content-Security-Policy
2. X-Frame-Option
이 헤더는 사용자의 눈에 보이지 않는 영역을 추가하여 사용자는 의도한대로 버튼을 누르지만 실제로는 다른 곳을 클
릭하게 만드는 Clickjacking을 방지 할 수 있는 옵션입니다. 페이지 내부에 심어질 수 있는 iframe과 같은 곳에 접근을
제어하는 옵션으로 설정 가능
X-Frame-Options : DENY (모든 표시를 거부)
X-Frame-Options : SAMEORIGIN (동일한 출처에 대한 것만 표시
X--Frame-Options : ALLOW FROM http://www.aaa.com (http:www.aaa.com에 대해서만 허용)
서버가 X-Frame-Options 헤더를 반환하지 않으면 이 웹사이트가 클릭재킹 공격의 위험에 처할 가능성 존재
* Clickjacking(User Interface redress attack, UI redress attack, UI redressing)은 웹 사용자를 속여 사용자가 클릭하고
있는 것과 다른 것을 클릭하도록 속여서 잠재적으로기밀 정보를 노출시키거나 컴퓨터를 제어하는 악의적인 기술. 무
해해 보이는 웹 페이지를 클릭
3. X-Content-Type-Option
4. Strict-Transport-Security
이 헤더는 한번 https로 접속하는 경우 이후의 모든 요청을 http로 요청하더라도 브라우저가 자동으로 https로 요청합니다.
Strict-Transport-Security: max-age=31536000;includeSubDomains;preload
https로 전송한 요청을 중간자가 가로채어 내용을 볼 수 있는(MIMT)기법을 클라이언트 레벨(브라우저)에서 차단할 수 있습니다.
5. X-XSS-Protection
6. Cache-Control, Programa
'보안 > 취약점' 카테고리의 다른 글
| Missing 'X-Frame-Options' header (0) | 2022.04.22 |
|---|---|
| Spring 라이브러리 보안 취약점 (0) | 2022.04.11 |
| Password field with auto-complete 취약점 설명 (0) | 2022.03.10 |
| QCEO 2021.12.09 웹취약점 점검 결과 (Medium 1, Low 3, Informational 3) (0) | 2021.12.09 |
| 정보(주의사항) : 서버가 200(OK) 또는 404(찾을 수 없음)가 아닌 상태 코드로 응답 (0) | 2021.12.09 |
