远程 Web 服务器未设置所有内容响应中的 X-Frame-Options 响应头或 Content-Security-Policy“frame-ancestors”响应头。这可能将站点暴露给点击劫持或 UI redress 攻击，其中攻击者可诱骗用户点击不同于预期的易受攻击的页面区域。这可导致用户执行欺骗性或恶意交易。

X-Frame-Options 已被 Microsoft 推荐为缓解点击劫持攻击的方法，目前受所有主要浏览器供应商支持。

Content-Security-Policy (CSP) 已被 W3C Web 应用安全工作组推荐为缓解点击劫持攻击和其他攻击的方法，受到越来越多主要浏览器供应商的支持。“frame-ancestors”策略指令限制哪些来源可对受保护资源进行嵌入。

请注意，X-Frame-Options 和 Content-Security-Policy 响应头虽然并非缓解点击劫持仅有的两种方法，但它们是目前能够被自动检测的最可靠的方法。因此，如果部署了其他缓解策略（如 frame-busting JavaScript）或页面未执行任何安全敏感交易，则此插件可能产生误报。

检测

Web 应用程序可能容易遭受点击劫持攻击。

medium Nessus 插件 ID 85582

未找到变更日志