信息服务上线渗透检测网络安全检查报告和解决方案3(系统漏洞扫描、相对路径覆盖RPO漏洞、nginx漏洞修复)

本文介绍: 经过对该部门应用系统漏洞扫描工作开展，发现高风险漏洞0项，中风险漏洞1项，低风险漏洞11项。业务部门对于中高风险漏洞按照专业安全测评公司建议及时修改，修改后我们及时开展二次漏洞扫描工作。确保应用系统漏洞控制在安全法规要求之内，确保信息与数据安全。@漏刻有时。

在这里插入图片描述

信息服务上线渗透检测网络安全检查报告和解决方案3，是基于漏刻有时核心系统，在不同项目上的应用，经第三方专业公司的开展漏洞扫描上线检测，在实践中不断修复和提升。

漏洞名称	相对路径覆盖(RPO)漏洞
危险级别	中危
提交方式	GET

描述

解决方案

原因：

漏洞名称	支持低版本TLS协议
危险级别	低危
提交方式	GET

漏洞名称	点击劫持：缺少X-Fram e-Options头
危险级别	低危
提交方式	GET

漏洞名称	HTTP Refe r re r-Poli cy 响应头缺失
危险级别	低危
提交方式	GET

漏洞名称	HTTP Content-Sec urity-Poli cy 响应头缺失
危险级别	低危
提交方式	GET

漏洞名称	HTTP X-Perm itted-Cros s-Dom a in-Poli cies 响应头缺失
危险级别	低危
提交方式	GET

漏洞名称	HTTP Content-Sec urity-Policy 响应头缺失
危险级别	低危
提交方式	GET

漏洞名称	HTTP X-Download-Options 响应头缺失
危险级别	低危
提交方式	GET

漏洞名称	HTTP X-Content-Type-Options 响应头缺失
危险级别	低危
提交方式	GET

漏洞名称	检测发现防火墙设备
危险级别	低危
提交方式	GET

漏洞名称	Cook ie 没有设置HttpOnly
危险级别	低危
提交方式	GET

漏洞名称	HTTP X-Download-Options 响应头缺失
危险级别	低危
提交方式	GET

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options nosniff;                                                                                                
#防止跨站脚本 Cross-site scripting (XSS)                                                                                                  
add_header X-XSS-Protection "1; mode=block";                                                                                                                                                        
#并不限制内容加载来源                                                                                    
add_header Content-Security-Policy "script-src * 'unsafe-inline' 'unsafe-eval'";                                                                                         
#将本站内部http链接自动改为https，并不限制内容加载来源                                                                                    
#add_header Content-Security-Policy "upgrade-insecure-requests;content *;img-src '*'";