浏览器安全模型通常会阻止一个域的 Web 内容访问另一个域的数据。这通常称为“同源策略”。

URL 策略文件会授予读取数据的跨域权限。它们允许执行默认不允许的操作。默认情况下，Silverlight 的 URL 策略文件位于目标服务器的 root 目录中，文件名为 `ClientAccessPolicy.xml`（例如，位于 `www.example.com/ClientAccessPolicy.xml` 中）。

在 `ClientAccessPolicy.xml` 中指定域时，该站点声明愿意允许该域中任何服务器的操作员获取策略文件所在服务器上的任何文档。

部署在此网站上的 `ClientAccessPolicy.xml` 文件可向所有域开放服务器（支持使用单个星号“*”作为纯通配符），并且可能允许通过依赖于应用的配置的 HTTP 访问 HTTPS 资源，从而可能将本应通过 HTTPS 保护的数据共享给第三方，便于发动中间人攻击。

当 Cookie 设置了 `secure` 标记时，浏览器将阻止其通过明文通道 (HTTP) 发送，而且仅在使用了加密通道 (HTTPS) 时才允许发送。

扫描程序发现服务器设置了未设置安全标记的 Cookie。尽管此 Cookie 的初始设置是通过 HTTPS 连接，但指向同一服务器的任何 HTTP 链接都将导致 Cookie 以明文发送。

请注意，如果 Cookie 不包含敏感信息，则可缓解此漏洞的风险。

HttpOnly 标记有助于防止客户端脚本（如 JavaScript）访问和使用 Cookie。

这有助于防止 XSS 攻击针对保存客户端会话标记的 Cookie（设置 HttpOnly 标记不能防止，也不能防护 XSS 漏洞本身）。

HTTP 本身为无状态协议。因此，服务器无法确定哪些请求是由哪个客户端执行的，以及哪些客户端经过身份验证或未经身份验证。

在标头内使用 HTTP Cookie 可让 Web 服务器识别每个单独的客户端，从而确定哪些客户端持有有效的身份验证信息，哪些不持有。这被称为会话 Cookie。

当服务器设置 Cookie（发送 HTTP 响应的标头）时，可设置多个标记，以配置 Cookie 的属性以及浏览器的处理方式。

其中一个标记代表可以使用 Cookie 的主机或域。

当 Cookie 是针对父域而非主机设置时，这可能表示相同的 Cookie 可用于访问该域内的其他主机。尽管这有很多合理的原因，但也可能是错误配置扩大了潜在攻击面。

点击劫持（用户界面伪装攻击，UI 伪装攻击，UI 伪装）是一种恶意技术，其可诱骗 Web 用户点击与用户预期所点击的内容不同的内容，从而可能当用户在看似无害的网页上点击时泄露用户的机密信息或控制其计算机。

服务器未返回“X-Frame-Options”标头，这意味着此网站可能面临点击劫持攻击的风险。

“X-Frame-Options”HTTP 响应标头可用于指示是否应允许浏览器在框架或 iframe 内渲染页面。网站可利用此标头，通过确保其内容未嵌入到其他网站中，来避免点击劫持攻击。

跨源资源共享 (CORS) 是一种 HTML5 技术，现代 Web 浏览器可借此绕过同源策略实施的限制。

同源策略要求 JavaScript 和页面都从相同的域加载，才能允许 JavaScript 与页面交互。这反过来可以防止从外部域加载 JavaScript 时执行恶意 JavaScript。

CORS 策略可让应用程序为浏览器实施的安全措施指定例外情况，并支持开发人员指定允许执行并与页面进行交互的外部 JavaScript 的许可名单域。

“Access-Control-Allow-Origin”标头设置为“*”或为空时是不安全的，因为它允许任何域执行跨域请求和读取响应。攻击者可以滥用此配置，从不使用标准身份验证机制的应用程序（例如，仅允许从内部网络访问的 Intranet）中检索隐私内容。

HTTP 协议本身是明文传输的，这意味着通过 HTTP 协议传输的任何数据都可能被截获，并且其内容可以被查看。如要保护数据隐私并防止其被截获，HTTP 通常会通过安全套接字层 (SSL) 或传输层安全 (TLS) 进行加密传输。当使用这两种加密标准中的任意一种时，这种协议被称为 HTTPS。

HTTP 严格传输安全 (HSTS) 是可选的响应头，可以在服务器上进行配置，用于指导浏览器仅通过 HTTPS 进行通信。即使用户请求同一服务器上的 HTTP 资源，浏览器也会强制执行此操作。

网络犯罪分子经常尝试利用 HTTP 协议，来试图破坏从客户端传递到服务器的敏感信息。这可以通过各种中间人 (MiTM) 攻击或通过网络数据包捕获的方式来进行。

扫描程序发现受影响的应用程序正在使用 HTTPS，但并未使用 HSTS 标头。

网页应用有时会使用参数值来存储客户端将被重定向到的页面地址——例如：“yoursite.com/page.asp?redirect=www.yoursite.com/404.asp”

当客户端能够修改请求中受影响的参数值并因此控制重定向的位置时，就会发生未经验证的重定向。例如，以下 URL `yoursite.com/page.asp?redirect=www.anothersite.com` 将重定向到 `www.anothersite.com`。

发生重定向的方式有多种：

1) 具有 3xx 状态代码的响应会告知浏览器重定向至“Location”标头中的 URL

2) 具有“Refresh”标头的响应会告知浏览器在设定的间隔时间（可以是 0）后重新加载页面。标头可以采用任意 URL 参数进行加载

3) HTML <meta> 标签可采用“http-equiv”属性，该属性可代替 HTTP 响应头使用。可以借此模拟“Refresh”

4) 使用 Javascript 将浏览器重定向至任意 URL

网络犯罪分子会在社交工程攻击中滥用这些漏洞，让用户在不知情的情况下访问恶意网站。

扫描程序已发现，服务器在将客户端重定向到注入的值之前未验证参数值。

扫描程序发现某些响应中包含一个状态代码，而不是通常的 200（正常）、301（永久移动）、302（已找到）和 404（未找到）代码。这些代码可针对 Web 应用程序的行为提供实用见解，并识别要解决的任何意外响应。

HTTP TRACE 方法可让客户端向服务器发送请求，并让服务器在响应中传回相同的请求。客户端可借此确定服务器是否在按预期接收请求。此方法通常用于调试目的（例如，验证请求是否未经改动地到达服务器端）。

在许多默认安装中，TRACE 方法仍处于启用状态。

虽然其本身不易受到攻击，但它确实为网络攻击者提供了绕过 HTTPOnly Cookie 标记的方法，因此可能导致 XSS 攻击成功获取会话标记。

扫描程序已发现受影响的页面允许使用 HTTP TRACE 方法。

在 Web 服务器上可以使用多种 HTTP 方法（`OPTIONS`、`HEAD`、`GET`、`POST`、`PUT`、`DELETE` 等）。每种方法都执行不同的功能，若这些方法在 Web 服务器上允许使用，各自都伴随着一定的风险水平。

通过发送 HTTP OPTIONS 请求和每种方法的直接 HTTP 请求，扫描程序发现服务器允许的方法。

当扫描程序无法使用扫描策略中提供的登录表单凭据对 Web 应用程序进行身份验证时，就会触发此插件。

检查插件的输出，以获得有关扫描所遇到问题的说明。

发布扫描所见的 Web 应用程序的站点地图。

扫描期间已检测到的所有 URL 的列表会以附件的形式提供。系统针对站点地图中的每个 URL 提供了以下信息：

- 首次检测到 URL：用于检测 URL 的逻辑。此信息由 发现：通过特定插件爬取渲染页面 - 父级 URL 请求检测 URL - 如果至少请求了一次 URL，则会出现关于响应的信息 - URL 是否已排入队列等待审核 - 如果 URL 还未排入队列等待审核，则会出现 URL 无需审核的原因 - URL 是否经过有效审核 - 如果 URL 未得到有效审核，则会出现扫描程序无法审核 URL 的原因


URL 未添加到审核队列的原因如下：

- not_in_domain：URL 的域与主要目标 URL 不匹配 - scope_configuration：URL 的范围包含列表扫描设置 - directory_depth：URL 路径中的目录数超出扫描配置设置 - exclude_file_extension：URL 文件扩展名符合文件扩展名黑名单设置的一项 - exclude_path_patterns：URL 符合 URL 排除黑名单设置的一项 - redundant_path：已达到使用相同路径和查询字符串参数要审计的 URL 的数量 - request_redirect_limit：已达到已达到每次扫描允许的 HTTP 重定向配置设置 - queue_full：已达到 URL 的数量


如果扫描未能审核已排入队列等待审核的 URL，则失败原因如下：

- timeout：尝试检索 URL 内容时请求超时 - filesize_exceeded：URL 响应超出了扫描配置中定义的文件大小限制 - scan_timelimit_reached：无法在扫描时间限制前审计 URL - user_abort：用户停止了扫描URL 遭到审计之前

提供插件运行的扫描信息和统计数据。

ID	名称	产品	系列	发布时间	严重程度
98065	不安全的客户端访问策略	Web App Scanning	Web Applications	2017/3/31	low
98064	检测到无安全标记的 Cookie	Web App Scanning	HTTP Security Header	2017/3/31	low
98063	检测到无 HttpOnly 标记的 Cookie	Web App Scanning	HTTP Security Header	2017/3/31	low
98062	为父域设置的 Cookie 集	Web App Scanning	HTTP Security Header	2017/3/31	info
98060	缺少“X-Frame-Options”标头	Web App Scanning	HTTP Security Header	2017/3/31	low
98057	“Access-Control-Allow-Origin”标头不安全	Web App Scanning	HTTP Security Header	2017/3/31	low
98056	缺少 HTTP 严格传输安全策略	Web App Scanning	HTTP Security Header	2017/3/31	medium
98054	未经验证的重定向	Web App Scanning	Web Applications	2017/3/31	medium
98050	有趣的响应	Web App Scanning	Web Applications	2017/3/31	info
98048	HTTP TRACE 受允许	Web App Scanning	Web Servers	2017/3/31	low
98047	允许的 HTTP 方法	Web App Scanning	Web Applications	2017/3/31	info
98034	登录表单身份验证失败	Web App Scanning	Authentication & Session	2017/3/31	info
98009	Web 应用程序站点地图	Web App Scanning	General	2017/3/31	info
98000	扫描信息	Web App Scanning	General	2017/3/31	info

检测

最新的插件

low

low

low

info

low

low

medium

medium

info

low

info

info

info

info