[TOC] ## 使用 HTTP 動詞篡改的認證旁路 修改``.htaccess``文件,添加代碼 ``` <LimitExcept GET POST> Require all denied </LimitExcept> ``` 注: apache2.2使用的： ``` ? ?? Order allow,deny ? ?? Allow from all ``` 在apache2.4變為： ? ``Require all granted`` apache2.2使用的： ``` Order allow,deny Deny from all ``` 在apache2.4變為：`` Require all denied`` ## 框架釣魚 修改``http.conf``文件并重啟apache 1. 添加``Header always append X-Frame-Options SAMEORIGIN`` 2. 取消``LoadModule headers_module modules/mod_headers.so``的注釋 ## iframe點擊劫持 1. 可在入口文件添加```header('X-Frame-Options:DENY');``` 2. apache下可在`httpd.conf`中添加`Header always append X-Frame-Options DENY` 3. 在`.htaccess`中添加`Header always append X-Frame-Options DENY` `X-Frame-Options`有三個值: `DENY`該頁面不允許在iframe中顯示，哪怕是相同域名也不行 `SAMEORIGIN`可以在相同域名的iframe中顯示 `ALLOW-FROM uri`在指定域名的iframe中可以顯示 ## 監測到目標服務器啟用了TRACE方法 在.htaccess中添加 ``` RewriteCond %{REQUEST_METHOD} ^TRACE RewriteRule .* - [F] ```