常见漏洞验证121 条

点击劫持防护检查

检查页面是否可用 iframe 嵌入且缺少 X-Frame-Options/frame-ancestors 限制；敏感操作页与登录页是重点。

响应头	X-Frame-Options: DENY/SAMEORIGIN
CSP	frame-ancestors 'none'/'self'
方法	自建页面尝试嵌入目标页面

检查步骤

curl -sI https://target.example/ | findstr /i "x-frame-options content-security-policy"
# 无相关头时，用本地自建 HTML 尝试 iframe 嵌入验证

修复视角：全站统一 frame-ancestors 策略；注意该头对旧浏览器的兼容取舍。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌