检测

缺少 HTTP 严格传输安全策略

medium Web App Scanning 插件 ID 98056

语言：

简介

缺少 HTTP 严格传输安全策略

描述

HTTP 协议本身是明文传输的，这意味着通过 HTTP 协议传输的任何数据都可能被截获，并且其内容可以被查看。如要保护数据隐私并防止其被截获，HTTP 通常会通过安全套接字层 (SSL) 或传输层安全 (TLS) 进行加密传输。当使用这两种加密标准中的任意一种时，这种协议被称为 HTTPS。

HTTP 严格传输安全 (HSTS) 是可选的响应头，可以在服务器上进行配置，用于指导浏览器仅通过 HTTPS 进行通信。即使用户请求同一服务器上的 HTTP 资源，浏览器也会强制执行此操作。

网络犯罪分子经常尝试利用 HTTP 协议，来试图破坏从客户端传递到服务器的敏感信息。这可以通过各种中间人 (MiTM) 攻击或通过网络数据包捕获的方式来进行。

扫描程序发现受影响的应用程序正在使用 HTTPS，但并未使用 HSTS 标头。

解决方案

根据使用的框架，实现方法会有所不同，但建议在服务器上配置“Strict-Transport-Security”标头。
“max-age”是此标头的一个选项，表示客户端浏览器遵循该标头策略的时间长度（以毫秒为单位）。
根据环境和应用程序的不同，此时间长度可以从几分钟到几天不等。

另见

https://hstspreload.org/

https://tools.ietf.org/html/rfc6797

https://www.chromium.org/hsts

https://www.owasp.org/index.php/HTTP_Strict_Transport_Security_Cheat_Sheet

插件详情

严重性: Medium

ID: 98056

类型: remote

发布时间: 2017/3/31

最近更新时间: 2025/5/16

扫描模板: api, basic, config_audit, full, overview, pci, quick, scan

风险信息

VPR

风险因素: Low

分数: 3.3

CVSS v2

风险因素: Medium

基本分数: 5.8

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: Medium

基本分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

CVSS 分数来源: Tenable

CVSS v4

风险因素: Medium

Base Score: 6.3

Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

CVSS 分数来源: Tenable

参考资料信息