错误响应上的X-Frame-Options标头
X-Frame-Options header on error response
我发现了一个与X-Frame-Options标头相关的有趣错误报告。但我不明白这怎么会是安全问题。
以下代码是漏洞的证明:
require 'net/http'
require 'uri'
uri = URI.parse("https://play.google.com/#{"a" * 10000}")
@r = Net::HTTP.get_response uri
ret = @r.each_header {|x| puts x}
if ret["x-frame-options"]
puts ret["x-frame-options"]
else
puts "Missing x-frame-options!"
end
但它正试图访问一个无效的URL(https://play.google.com/aaaaaaaaa...)并返回错误页面。在响应中,缺少x-frame-options标头。我不明白这怎么会是一个安全漏洞(因为它是一个无效页面,而且是一个错误响应)?如何将其用于点击劫持?为什么设置此标头对错误响应也很重要?
您可以将以下行添加到.htaccess
Header always unset X-Frame-Options
相关文章:
- X-Frame-Options SAMEORIGIN在我的域上阻止iframe
- 拒绝在框架中显示,因为它设置了'X-Frame-Options'到'拒绝'在JavaSc
- javascript中的Catch X-Frame-Options错误
- Google Plus图标未显示-“X-Frame-Options禁止显示”
- 如何使用X-Frame-Options SAMEORIGIN对来自同一域的页面进行iframe
- 错误响应上的X-Frame-Options标头
- Google OAuth gapi.auth.authorize X-Frame-Options: SAMEORIGIN
- 如何删除 X-Frame-Options 响应标头,允许应用程序被 iframe
- X-Frame-Options阻止Ajax响应在iframe中显示
- 要停止ClickJacking,哪一个更安全?突破iframe与X-Frame-Options拒绝或同源
- Iframe Alt Text当X-Frame-Options:SAMEORIGIN|DENY的Iframe加载错误时
- 拒绝显示,请将X-Frame-Options设置为SAMEORIGIN
- 拒绝显示文档,因为X-Frame-Options禁止显示
- 谷歌在框架中的视图,因为它将“X-Frame-Options”设置为“SAMEORIGIN”
- 拒绝显示'在帧中,因为它设置了'X-Frame-Options'到'否认'.在通
- 检测方式“;拒绝显示文档,因为X-Frame-Options禁止显示"错误
- 在使用angularjs渲染谷歌共享时,X-Frame-Options拒绝加载
- Google Drive文件上传使用JavaScript API抛出X-Frame-Options错误
- 拒绝在框架中显示,因为它设置了'X-Frame-Options'拒绝facebook.UI共享方法
- 是否可以在设置'X-Frame-Options'到'同源'使用用户脚本