跳到主要內容

關於 ZAP 弱掃報告的 Secure Header 問題(1)

如果 ZAP 弱掃報告指出一堆關於 Secure Header 的問題，以 Apache+PHP 為例，可以設定如下：1.編輯 /etc/httpd/conf.d/secure.conf[code]header unset X-Powered-ByServerTokens ProdServerSignature OffHeader always append X-Frame-Options SAMEORIGIN Header always append Frame-Options SAMEORIGINHeader always append STRICT-TRANSPORT-SECURITY max-age=16070400; includeSubDomainsHeader always append X-XSS-Protection 1;mode=blockHeader always append X-Content-Type-Options nosniffHeader always append Content-Security-Policy \ default-src 'self'; \ script-src 'self' 'nonce-xxx'; \ style-src 'self' 'nonce-xxx'; \ img-src 'self'; \ frame-src 'self'; \ frame-ancestors 'self'; \ form-action 'self'; \Header always append Permissions-Policy \ geolocation=(),microphone=(),camera=(),payment=(),magnetometer=() \Header always append Referrer-Policy strict-origin-when-cross-originHeader always edit Set-Cookie ^(.*)$ $1;Secure;SameSite=Lax[/code]2.必須停用 404 轉址，以下在 .htaccess 設定的 404 轉址設定不能使用，因為 404 轉址會導致 ZAP 的弱掃報告出現一個屬於「中風險」的「發現隱藏檔案」缺失，這有點不知 ZAP 在想什麼。[code]ErrorDocument 404 /Error404.php[/code]3.編輯 /etc/php.ini[code]expose_php = Offsession.cookie_httponly = 1session.cookie_samesite = Lax[/code]4.編輯 /etc/httpd/conf.d/autoindex.conf[code]#Alias /icons/ /usr/share/httpd/icons/[/code]重新啟動 Apache[code]service httpd restart[/code]
關於 ZAP 弱掃報告的 Secure Header 問題(1)
如果 ZAP 弱掃報告指出一堆關於 Secure Header 的問題，以 Apache+PHP 為例，可以設定如下：
1.編輯 /etc/httpd/conf.d/secure.conf
[code]
header unset X-Powered-By
ServerTokens Prod
ServerSignature Off
Header always append X-Frame-Options "SAMEORIGIN "
Header always append Frame-Options "SAMEORIGIN"
Header always append STRICT-TRANSPORT-SECURITY "max-age=16070400; includeSubDomains"
Header always append X-XSS-Protection "1;mode=block"
Header always append X-Content-Type-Options "nosniff"
Header always append Content-Security-Policy " \
default-src 'self'; \
script-src 'self' 'nonce-xxx'; \
style-src 'self' 'nonce-xxx'; \
img-src 'self'; \
frame-src 'self'; \
frame-ancestors 'self'; \
form-action 'self'; \
"
Header always append Permissions-Policy " \
geolocation=(),microphone=(),camera=(),payment=(),magnetometer=() \
"
Header always append Referrer-Policy "strict-origin-when-cross-origin"
Header always edit Set-Cookie ^(.*)$ "$1;Secure;SameSite=Lax"
[/code]
2.必須停用 404 轉址，以下在 .htaccess 設定的 404 轉址設定不能使用，因為 404 轉址會導致 ZAP 的弱掃報告出現一個屬於「中風險」的「發現隱藏檔案」缺失，這有點不知 ZAP 在想什麼。
[code]
ErrorDocument 404 /Error404.php
[/code]
3.編輯 /etc/php.ini
[code]
expose_php = Off
session.cookie_httponly = 1
session.cookie_samesite = Lax
[/code]
4.編輯 /etc/httpd/conf.d/autoindex.conf
[code]
#Alias /icons/ "/usr/share/httpd/icons/"
[/code]
重新啟動 Apache
[code]
service httpd restart
[/code]