siwecos/hshs-domxss-scanner

SIWECOS 镜像文档

本文档描述了两个模块："HTTP安全头扫描器"（HTTP Secure Header Scanner）和"DOMXSS扫描器"（DOMXSS-Scanner）。

使用Docker启动

bash
docker run --rm --name siwecos-hshs-domxss-scanner -p 8000:2015 siwecos/hshs-domxss-scanner

HTTP安全头扫描器

该模块扫描特定URL的HTTP头，并返回可用于改进配置以提升安全性的报告。

API调用

向 http://localhost/api/v1/header 发送POST请求：

http
POST /api/v1/header HTTP/1.1
Host: localhost:8000
Content-Type: application/json
Cache-Control: no-cache

{
  "url": "https://siwecos.de",
  "callbackurls": [
    "http://localhost:9002"
  ]
}

参数 url 和 callbackurls 为必填项：

• url 必须是 string 类型。
• callbackurls 必须是仅包含一个或多个 string 的 array 类型。

示例输出

json
{
  "name": "HEADER",
  "hasError": false,
  "errorMessage": null,
  "score": 66,
  "tests": [
    {
      "name": "CONTENT_SECURITY_POLICY",
      "hasError": true,
      "errorMessage": "HEADER_NOT_SET",
      "score": 0,
      "scoreType": "warning",
      "testDetails": []
    },
    {
      "name": "CONTENT_TYPE",
      "hasError": false,
      "errorMessage": null,
      "score": 100,
      "scoreType": "warning",
      "testDetails": [
        {
          "placeholder": "META",
          "values": [
            "<meta charset=\"UTF-8\" \\/>"
          ]
        },
        {
          "placeholder": "CT_META_TAG_SET_CORRECT"
        },
        {
          "placeholder": "HEADER",
          "values": [
            "text\\/html; charset=UTF-8"
          ]
        },
        {
          "placeholder": "CT_CORRECT"
        }
      ]
    },
    {
      "name": "PUBLIC_KEY_PINS",
      "hasError": true,
      "errorMessage": "HEADER_NOT_SET",
      "score": 0,
      "scoreType": "info",
      "testDetails": []
    },
    {
      "name": "STRICT_TRANSPORT_SECURITY",
      "hasError": true,
      "errorMessage": "HEADER_NOT_SET",
      "score": 0,
      "scoreType": "warning",
      "testDetails": []
    },
    {
      "name": "X_CONTENT_TYPE_OPTIONS",
      "hasError": false,
      "errorMessage": null,
      "score": 100,
      "scoreType": "warning",
      "testDetails": [
        {
          "placeholder": "HEADER",
          "values": [
            "nosniff"
          ]
        },
        {
          "placeholder": "XCTO_CORRECT"
        }
      ]
    },
    {
      "name": "X_FRAME_OPTIONS",
      "hasError": false,
      "errorMessage": null,
      "score": 100,
      "scoreType": "warning",
      "testDetails": [
        {
          "placeholder": "HEADER",
          "values": [
            "SAMEORIGIN"
          ]
        },
        {
          "placeholder": "XFO_CORRECT"
        }
      ]
    },
    {
      "name": "X_XSS_PROTECTION",
      "hasError": false,
      "errorMessage": null,
      "score": 100,
      "scoreType": "warning",
      "testDetails": [
        {
          "placeholder": "HEADER",
          "values": [
            "1; mode=block"
          ]
        },
        {
          "placeholder": "XXSS_CORRECT"
        },
        {
          "placeholder": "XXSS_BLOCK"
        }
      ]
    }
  ]
}

扫描的头及描述

Content-Type（Content-Type）

描述

当服务器向用户代理（如浏览器）发送文档时，会在HTTP头的Content-Type字段中附带关于数据格式类型的信息，该信息通过MIME类型标签表示。HTTP传输的文本类型文档（如text/html、text/plain等）可在HTTP头中通过charset参数指定文档的字符编码。

最佳实践

text/html; charset=utf-8;

影响与可行性（10/10）

正确设置包含charset的头可防止利用非原始网页字符集绕过XSS防护的各类XSS***。设置正确的charset简单且无害，不会影响网站内容。

Content-Security-Policy（Content-Security-Policy）

描述

内容安全策略（CSP）需要仔细调整和精确定义。启用后，CSP会显著影响浏览器渲染页面的方式（例如，默认禁用内联JavaScript，必须在策略中显式允许）。CSP可防止多种***，包括跨站脚本（XSS）和其他跨站注入***。

最佳实践

最佳实践是使用带有 default-src 'none' 且不包含任何 unsafe-eval 或 unsafe-inline 指令的CSP。

影响与可行性（7/10）

Content-Security-Policy可防止多种渗透外部内容和代码的***，正确配置后是提升网站安全性的有力手段。但另一方面，通常需要修改网站源代码才能设置安全的CSP头。

影响评分：10/10 | 可行性：5/10

Public-Key-Pins（Public-Key-Pins）

描述

HTTP公钥固定（HPKP）是一种安全机制，允许HTTPS网站抵御者使用错误签发或其他欺诈性证书进行的冒充（例如，***者可能攻陷证书颁发机构，进而错误签发网站源的证书）。

最佳实践

不建议使用此头。// pin-sha256="<HASH>"; pin-sha256="<HASH>"; max-age=2592000; includeSubDomains

影响与可行性（3/10）

对于SIWECOS的目标用户群体（中小企业），此头属于"锦上添花"而非必需。若配置错误，网站将在使用正确证书或max-age过期前无法供用户访问。

Strict-Transport-Security（Strict-Transport-Security）

描述

HTTP严格传输安全（HSTS）是一种Web安全策略机制，有助于保护网站免受协议降级***和Cookie劫持。它允许Web服务器声明浏览器（或其他兼容用户代理）应仅通过安全的HTTPS连接与其交互，而从不使用不安全的HTTP协议。

最佳实践

max-age=63072000; includeSubdomains

影响与可行性（10/10）

这是每个网页的必备头，集成简单且无害。该头确保服务器与客户端之间的通信必须加密。

X-Content-Type-Options（X-Content-Type-Options）

描述

设置此头可防止浏览器将文件解释为HTTP头中Content-Type声明之外的类型。

最佳实践

nosniff

影响与可行性（6/10）

易于实现，无需对网站进行进一步调整。仅对Internet Explorer有效。

X-Frame-Options（X-Frame-Options）

描述

X-Frame-Options响应头可增强Web应用对点击劫持（Clickjacking）的防护。它从主机向客户端浏览器传达策略，说明浏览器是否不得在其他网页的框架中显示传输的内容。

最佳实践

最佳实践是根据需求设置此头。不要使用allow-from: *，不要使用任何通配符。

影响与可行性（9/10）

防止点击劫持***。易于实现，无需对网站进行进一步调整。

X-Xss-Protection（X-Xss-Protection）

描述

此头启用浏览器中的跨站脚本（XSS）过滤器。

最佳实践

1; mode=block

影响与可行性（9/10）

防止反射型XSS***。易于实现，无需对网站进行进一步调整。

DOMXSS扫描器

该模块扫描给定URL并检查DOMXSS的接收器（sinks）和源（sources）。

API调用

向 http://localhost/api/v1/domxss 发送POST请求：

http
POST /api/v1/domxss HTTP/1.1
Host: localhost:8000
Content-Type: application/json
Cache-Control: no-cache

{
  "url": "https://siwecos.de",
  "callbackurls": [
    "http://localhost:9002"
  ]
}

参数 url 和 callbackurls 为必填项：

• url 必须是 string 类型。
• callbackurls 必须是仅包含一个或多个 string 的 array 类型。

示例输出

json
{
  "name": "DOMXSS",
  "hasError": false,
  "errorMessage": null,
  "score": 50,
  "tests": [
    {
      "name": "SOURCES",
      "hasError": false,
      "errorMessage": null,
      "score": 100,
      "scoreType": "info",
      "testDetails": [
        {
          "placeholder": "NO_SOURCES_FOUND",
          "values": []
        }
      ]
    },
    {
      "name": "SINKS",
      "hasError": false,
      "errorMessage": null,
      "score": 0,
      "scoreType": "info",
      "testDetails": [
        {
          "placeholder": "SINKSS_FOUND",
          "values": {
            "AMOUNT": 11
          }
        }
      ]
    }
  ]
}

扫描任务及描述

源（SOURCES）

描述

源是可能被外部（不受信任）来源控制的输入。

https://github.com/wisec/domxsswiki/wiki/Glossary

影响（1/10）

扫描结果仅可作为可能存在安全漏洞的指示。需要进一步高级测试才能确认网站是否存在漏洞。

接收器（SINKS）

描述

接收器是可能导致漏洞（此处为基于DOM的XSS）的潜在危险方法。

https://github.com/wisec/domxsswiki/wiki/Glossary

影响（2/10）

扫描结果仅可作为可能存在安全漏洞的指示。需要进一步高级测试才能确认网站是否存在漏洞。

扫描器接口值

HSHS扫描器

DOMXSS扫描器