文章目录漏洞背景与解决过程1. 目标使用过期的 TLS 1.0 版协议2. 目标主机支持 RSA 密钥交换3. 可通过 HTTP(S) 获取远端 WWW 服务信息4. 探测到服务器支持的 SSL 加密协议5. 目标 X-Content-Type-Options 响应头缺失6. 目标 Content-Security-Policy 响应头缺失7. 目标 X-Download-Options 响应头缺失8. Strict-Transport-Security (HSTS) 缺失9. X-Permitted-Cross-Domain-Policies 缺失10. 目标 X-XSS-Protection 响应头缺失11. Referrer-Policy 缺失12. 点击劫持X-Frame-Options 未配置验证与总结结语漏洞背景与解决过程1. 目标使用过期的 TLS 1.0 版协议问题描述: TLS 1.0 发布于 1999 年存在已知漏洞如 BEAST攻击安全性较低。扫描检测到服务器支持 TLS 1.0。威胁分值: 6.5解决步骤:编辑 Nginx 配置文件例如/etc/nginx/nginx.confssl_protocols TLSv1.2 TLSv1.3;确保禁用 TLS 1.0 和 1.1。重启 Nginxsudosystemctl restart nginx验证使用openssl s_client -connect yourdomain.com:443 -tls1预期连接失败。结果: TLS 1.0 成功禁用Qualys SSL Labs 报告确认仅支持 TLS 1.2。2. 目标主机支持 RSA 密钥交换问题描述: RSA密钥交换缺乏前向保密存在历史流量解密风险。扫描检测到服务器支持RSA。威胁分值: 5解决步骤:更新 Nginx 密码套件ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers on;重启 Nginxsudosystemctl restart nginx验证运行sslscan yourdomain.com:443确认仅支持 ECDHE 套件。结果: RSA 密钥交换被 ECDHE 替代满足安全要求。3. 可通过 HTTP(S) 获取远端 WWW 服务信息问题描述: 服务器返回的 HTTP 头可能泄露版本信息如 Nginx版本便于攻击者进一步攻击。威胁分值: 0解决步骤:编辑 Nginx 配置文件server_tokens off;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认Server头无版本信息。结果: 服务器 banner 隐藏信息泄露风险降低。4. 探测到服务器支持的 SSL 加密协议问题描述: 检测到服务器使用 SSL 协议信息收集性漏洞。威胁分值: 0解决步骤: 无需修复但通过优化 TLS 配置间接改善。结果: 因 TLS 1.0 禁用协议信息无敏感泄露。5. 目标 X-Content-Type-Options 响应头缺失问题描述: 缺失此头可能导致 MIME 类型嗅探攻击。解决步骤:添加安全头add_header X-Content-Type-Options nosniff;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认头存在。结果: 防止 MIME 嗅探增强安全性。6. 目标 Content-Security-Policy 响应头缺失问题描述: 缺失 CSP 头可能导致 XSS 攻击。解决步骤:添加 CSPadd_header Content-Security-Policy default-src self; script-src self unsafe-inline https://webapi.amap.com https://at.alicdn.com; style-src self https://at.alicdn.com https://a.amap.com; img-src self data:; connect-src self https://webapi.amap.com;;重启 Nginxsudosystemctl restart nginx验证检查响应头确认 CSP 设置。结果: 限制了不受信任资源的加载减少 XSS 风险。7. 目标 X-Download-Options 响应头缺失问题描述: 缺失此头可能允许恶意文件自动打开。解决步骤:添加头add_header X-Download-Options noopen;重启 Nginxsudosystemctl restart nginx验证确认头在响应中。结果: 防止自动打开下载文件。8. Strict-Transport-Security (HSTS) 缺失问题描述: 缺失 HSTS 头可能导致用户连接到非 HTTPS 站点。解决步骤:添加 HSTSadd_header Strict-Transport-Security max-age31536000; includeSubDomains; preload;重启 Nginxsudosystemctl restart nginx验证检查响应头。结果: 强制 HTTPS 连接提升安全性。9. X-Permitted-Cross-Domain-Policies 缺失问题描述: 缺失此头可能允许跨域策略滥用。解决步骤:添加头add_header X-Permitted-Cross-Domain-Policies none;重启 Nginxsudosystemctl restart nginx验证确认头存在。结果: 限制跨域策略减少风险。10. 目标 X-XSS-Protection 响应头缺失问题描述: 缺失此头可能导致浏览器未启用内置的 XSS 保护机制从而增加跨站脚本攻击的风险。解决步骤:添加 X-XSS-Protection 响应头add_header X-XSS-Protection 1; modeblock;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认响应头中包含X-XSS-Protection。结果: 启用浏览器的 XSS 防御功能降低 XSS 攻击风险。11. Referrer-Policy 缺失问题描述: 缺失此头可能泄露 Referrer 信息。解决步骤:添加头add_header Referrer-Policy strict-origin-when-cross-origin;重启 Nginxsudosystemctl restart nginx验证检查响应头。结果: 控制 Referrer 信息泄露。12. 点击劫持X-Frame-Options 未配置问题描述: 缺少X-Frame-Options响应头可能导致网页被嵌入到恶意网站的 iframe 中从而进行点击劫持攻击。解决步骤:添加X-Frame-Options响应头禁止页面被嵌入到 iframe 中add_header X-Frame-Options DENY;或者仅允许同源页面嵌入add_header X-Frame-Options SAMEORIGIN;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认响应头中包含X-Frame-Options。结果: 防止页面被恶意网站通过 iframe 嵌套降低点击劫持风险。验证与总结工具验证:使用 Qualys SSL Labshttps://www.ssllabs.com/ssltest/确认协议支持仅 TLS 1.2/1.3、密码套件ECDHE、证书链完整性以及 HSTS 配置。使用curl -I https://yourdomain.com检查 HTTP 响应头确保Server头无版本信息以及所有安全头如X-Content-Type-Options、Content-Security-Policy等正确添加。使用openssl s_client -connect yourdomain.com:443 -tls1_2验证 TLS 1.2 连接成功检查Protocol : TLSv1.2和 ECDHE 套件使用openssl s_client -connect yourdomain.com:443 -tls1确认 TLS 1.0 连接失败。使用 Security Headershttps://securityheaders.com/验证所有 HTTP 安全头X-Content-Type-Options、Content-Security-Policy、X-Download-Options、Strict-Transport-Security、X-Permitted-Cross-Domain-Policies、Referrer-Policy是否存在并符合最佳实践目标评分 A。结果: 所有漏洞TLS 1.0、RSA 密钥交换、信息泄露、安全头缺失均通过配置优化解决。服务器安全性显著提升Qualys SSL Labs 和 Security Headers 测试均显示优化后的配置达到高安全标准openssl s_client进一步确认协议和套件配置正确。注意事项: 升级后测试客户端兼容性如旧浏览器或不支持 TLS 1.3 的设备确保无访问问题。定期更新 Nginx 配置和证书并每月运行 Qualys SSL Labs、Security Headers 以及openssl s_client测试以监控安全状态。结语最后添加的配置如下↓#TLSv1 与TLSv1.1禁用 ssl_protocols TLSv1.2 TLSv1.3; # 强制使用支持前向保密的 ECDHE 密码套件禁用 RSA ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; # 隐藏 Nginx 版本信息 server_tokens off; # 防止浏览器对未知 MIME 类型的资源进行嗅探减少 MIME 类型混淆攻击风险 add_header X-Content-Type-Options nosniff; # 限制资源加载范围防止 XSS、数据注入等攻击 # default-src self默认仅允许同源资源 # script-src self unsafe-inline https://webapi.amap.com https://at.alicdn.com允许同源、内联脚本、高德地图与阿里 CDN 的脚本 # style-src self https://at.alicdn.com https://a.amap.com允许同源与指定 CDN 样式 # img-src self data:允许同源图片和 data URI 图片 # connect-src self https://webapi.amap.com允许同源与高德地图 API 的网络请求 add_header Content-Security-Policy default-src self; script-src self unsafe-inline https://webapi.amap.com https://at.alicdn.com; style-src self https://at.alicdn.com https://a.amap.com; img-src self data:; connect-src self https://webapi.amap.com;; # 启用浏览器 XSS 过滤并在检测到攻击时阻止页面加载 add_header X-XSS-Protection 1; modeblock; # 防止 IE 浏览器通过文件下载直接在本地执行提升下载安全性 add_header X-Download-Options noopen; # 强制使用 HTTPS最长有效期 1 年适用于所有子域并提交到 HSTS 预加载列表 add_header Strict-Transport-Security max-age31536000; includeSubDomains; preload; # 禁止跨域策略文件加载避免 Flash、PDF 等跨域访问安全隐患 add_header X-Permitted-Cross-Domain-Policies none; # 控制 Referer 头的发送方式保护用户隐私和敏感信息泄露 # strict-origin-when-cross-origin跨站请求仅发送来源避免暴露完整路径 add_header Referrer-Policy strict-origin-when-cross-origin; # 防止网页被嵌入到 iframe 中避免点击劫持攻击 add_header X-Frame-Options DENY;
文章目录漏洞背景与解决过程1. 目标使用过期的 TLS 1.0 版协议2. 目标主机支持 RSA 密钥交换3. 可通过 HTTP(S) 获取远端 WWW 服务信息4. 探测到服务器支持的 SSL 加密协议5. 目标 X-Content-Type-Options 响应头缺失6. 目标 Content-Security-Policy 响应头缺失7. 目标 X-Download-Options 响应头缺失8. Strict-Transport-Security (HSTS) 缺失9. X-Permitted-Cross-Domain-Policies 缺失10. 目标 X-XSS-Protection 响应头缺失11. Referrer-Policy 缺失12. 点击劫持X-Frame-Options 未配置验证与总结结语漏洞背景与解决过程1. 目标使用过期的 TLS 1.0 版协议问题描述: TLS 1.0 发布于 1999 年存在已知漏洞如 BEAST攻击安全性较低。扫描检测到服务器支持 TLS 1.0。威胁分值: 6.5解决步骤:编辑 Nginx 配置文件例如/etc/nginx/nginx.confssl_protocols TLSv1.2 TLSv1.3;确保禁用 TLS 1.0 和 1.1。重启 Nginxsudosystemctl restart nginx验证使用openssl s_client -connect yourdomain.com:443 -tls1预期连接失败。结果: TLS 1.0 成功禁用Qualys SSL Labs 报告确认仅支持 TLS 1.2。2. 目标主机支持 RSA 密钥交换问题描述: RSA密钥交换缺乏前向保密存在历史流量解密风险。扫描检测到服务器支持RSA。威胁分值: 5解决步骤:更新 Nginx 密码套件ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers on;重启 Nginxsudosystemctl restart nginx验证运行sslscan yourdomain.com:443确认仅支持 ECDHE 套件。结果: RSA 密钥交换被 ECDHE 替代满足安全要求。3. 可通过 HTTP(S) 获取远端 WWW 服务信息问题描述: 服务器返回的 HTTP 头可能泄露版本信息如 Nginx版本便于攻击者进一步攻击。威胁分值: 0解决步骤:编辑 Nginx 配置文件server_tokens off;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认Server头无版本信息。结果: 服务器 banner 隐藏信息泄露风险降低。4. 探测到服务器支持的 SSL 加密协议问题描述: 检测到服务器使用 SSL 协议信息收集性漏洞。威胁分值: 0解决步骤: 无需修复但通过优化 TLS 配置间接改善。结果: 因 TLS 1.0 禁用协议信息无敏感泄露。5. 目标 X-Content-Type-Options 响应头缺失问题描述: 缺失此头可能导致 MIME 类型嗅探攻击。解决步骤:添加安全头add_header X-Content-Type-Options nosniff;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认头存在。结果: 防止 MIME 嗅探增强安全性。6. 目标 Content-Security-Policy 响应头缺失问题描述: 缺失 CSP 头可能导致 XSS 攻击。解决步骤:添加 CSPadd_header Content-Security-Policy default-src self; script-src self unsafe-inline https://webapi.amap.com https://at.alicdn.com; style-src self https://at.alicdn.com https://a.amap.com; img-src self data:; connect-src self https://webapi.amap.com;;重启 Nginxsudosystemctl restart nginx验证检查响应头确认 CSP 设置。结果: 限制了不受信任资源的加载减少 XSS 风险。7. 目标 X-Download-Options 响应头缺失问题描述: 缺失此头可能允许恶意文件自动打开。解决步骤:添加头add_header X-Download-Options noopen;重启 Nginxsudosystemctl restart nginx验证确认头在响应中。结果: 防止自动打开下载文件。8. Strict-Transport-Security (HSTS) 缺失问题描述: 缺失 HSTS 头可能导致用户连接到非 HTTPS 站点。解决步骤:添加 HSTSadd_header Strict-Transport-Security max-age31536000; includeSubDomains; preload;重启 Nginxsudosystemctl restart nginx验证检查响应头。结果: 强制 HTTPS 连接提升安全性。9. X-Permitted-Cross-Domain-Policies 缺失问题描述: 缺失此头可能允许跨域策略滥用。解决步骤:添加头add_header X-Permitted-Cross-Domain-Policies none;重启 Nginxsudosystemctl restart nginx验证确认头存在。结果: 限制跨域策略减少风险。10. 目标 X-XSS-Protection 响应头缺失问题描述: 缺失此头可能导致浏览器未启用内置的 XSS 保护机制从而增加跨站脚本攻击的风险。解决步骤:添加 X-XSS-Protection 响应头add_header X-XSS-Protection 1; modeblock;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认响应头中包含X-XSS-Protection。结果: 启用浏览器的 XSS 防御功能降低 XSS 攻击风险。11. Referrer-Policy 缺失问题描述: 缺失此头可能泄露 Referrer 信息。解决步骤:添加头add_header Referrer-Policy strict-origin-when-cross-origin;重启 Nginxsudosystemctl restart nginx验证检查响应头。结果: 控制 Referrer 信息泄露。12. 点击劫持X-Frame-Options 未配置问题描述: 缺少X-Frame-Options响应头可能导致网页被嵌入到恶意网站的 iframe 中从而进行点击劫持攻击。解决步骤:添加X-Frame-Options响应头禁止页面被嵌入到 iframe 中add_header X-Frame-Options DENY;或者仅允许同源页面嵌入add_header X-Frame-Options SAMEORIGIN;重启 Nginxsudosystemctl restart nginx验证使用curl -I https://yourdomain.com确认响应头中包含X-Frame-Options。结果: 防止页面被恶意网站通过 iframe 嵌套降低点击劫持风险。验证与总结工具验证:使用 Qualys SSL Labshttps://www.ssllabs.com/ssltest/确认协议支持仅 TLS 1.2/1.3、密码套件ECDHE、证书链完整性以及 HSTS 配置。使用curl -I https://yourdomain.com检查 HTTP 响应头确保Server头无版本信息以及所有安全头如X-Content-Type-Options、Content-Security-Policy等正确添加。使用openssl s_client -connect yourdomain.com:443 -tls1_2验证 TLS 1.2 连接成功检查Protocol : TLSv1.2和 ECDHE 套件使用openssl s_client -connect yourdomain.com:443 -tls1确认 TLS 1.0 连接失败。使用 Security Headershttps://securityheaders.com/验证所有 HTTP 安全头X-Content-Type-Options、Content-Security-Policy、X-Download-Options、Strict-Transport-Security、X-Permitted-Cross-Domain-Policies、Referrer-Policy是否存在并符合最佳实践目标评分 A。结果: 所有漏洞TLS 1.0、RSA 密钥交换、信息泄露、安全头缺失均通过配置优化解决。服务器安全性显著提升Qualys SSL Labs 和 Security Headers 测试均显示优化后的配置达到高安全标准openssl s_client进一步确认协议和套件配置正确。注意事项: 升级后测试客户端兼容性如旧浏览器或不支持 TLS 1.3 的设备确保无访问问题。定期更新 Nginx 配置和证书并每月运行 Qualys SSL Labs、Security Headers 以及openssl s_client测试以监控安全状态。结语最后添加的配置如下↓#TLSv1 与TLSv1.1禁用 ssl_protocols TLSv1.2 TLSv1.3; # 强制使用支持前向保密的 ECDHE 密码套件禁用 RSA ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; # 隐藏 Nginx 版本信息 server_tokens off; # 防止浏览器对未知 MIME 类型的资源进行嗅探减少 MIME 类型混淆攻击风险 add_header X-Content-Type-Options nosniff; # 限制资源加载范围防止 XSS、数据注入等攻击 # default-src self默认仅允许同源资源 # script-src self unsafe-inline https://webapi.amap.com https://at.alicdn.com允许同源、内联脚本、高德地图与阿里 CDN 的脚本 # style-src self https://at.alicdn.com https://a.amap.com允许同源与指定 CDN 样式 # img-src self data:允许同源图片和 data URI 图片 # connect-src self https://webapi.amap.com允许同源与高德地图 API 的网络请求 add_header Content-Security-Policy default-src self; script-src self unsafe-inline https://webapi.amap.com https://at.alicdn.com; style-src self https://at.alicdn.com https://a.amap.com; img-src self data:; connect-src self https://webapi.amap.com;; # 启用浏览器 XSS 过滤并在检测到攻击时阻止页面加载 add_header X-XSS-Protection 1; modeblock; # 防止 IE 浏览器通过文件下载直接在本地执行提升下载安全性 add_header X-Download-Options noopen; # 强制使用 HTTPS最长有效期 1 年适用于所有子域并提交到 HSTS 预加载列表 add_header Strict-Transport-Security max-age31536000; includeSubDomains; preload; # 禁止跨域策略文件加载避免 Flash、PDF 等跨域访问安全隐患 add_header X-Permitted-Cross-Domain-Policies none; # 控制 Referer 头的发送方式保护用户隐私和敏感信息泄露 # strict-origin-when-cross-origin跨站请求仅发送来源避免暴露完整路径 add_header Referrer-Policy strict-origin-when-cross-origin; # 防止网页被嵌入到 iframe 中避免点击劫持攻击 add_header X-Frame-Options DENY;
![[从入门到入土!!!] Ubuntu20.04 系统开发环境配置（系统配置，显卡驱动，CUDA，ROS，VSCode，Anaconda等）](http://pic.xiahunao.cn/yaotu/[从入门到入土!!!] Ubuntu20.04 系统开发环境配置（系统配置，显卡驱动，CUDA，ROS，VSCode，Anaconda等）)
