Was fügt global einen Header "x-frame-options: deny" hinzu?

Question

Ich habe einen Client, der ColdFusion 10 und IIS 7.5 auf Win 2k3 R2 verwendet. Der ColdFusion-Administrator verwendet Frames. Als ich in den CF-admin einloggen Ich bin ein leerer weißer Bildschirm in Chrome zu sehen und in IE ich eine Meldung sehe sagen mir dies:

Dieser Inhalt nicht in einem Frame angezeigt werden kann

schützen zu helfen Die Sicherheit der Informationen, die Sie auf dieser Website eingeben, erlaubt dem Herausgeber dieses Inhalts nicht, in einem Rahmen angezeigt zu werden.

Ich sehe ein paar diese Nachricht (1 für jeden Rahmen) in der Chrom-dev Konsole:

Verweigern in einem Rahmen 'http://localhost/CFIDE/Administrator/navserver.cfm' angezeigt werden, weil sie 'X-Frame-Options' gesetzt bestreiten'.

Mit Blick auf die Antwort-Header in Chrome, kann ich sehen, dass dies auf DENY eingestellt ist.

Ich kann nicht herausfinden, woher das kommt. Alle Sites auf diesem Server geben jetzt diesen Header aus. Ich habe nie explizit konfiguriert, diesen Header auszugeben. Ich weiß, CF hätte dies in einem Patch nicht getan, weil es seine eigene Admin-Oberfläche hätte durchbrechen können.

Die rootserverweite Konfiguration von IIS in HTTP Response Headers verfügt über keine X-Frame-Optionen und tut auch keine der konfigurierten Websites.

Wenn ich explizit eine X-Frame-Optionen-Header hinzufügen und es auf sameorigin setzen, sehe ich beide Header (deny und sameorigin).

Gibt es vielleicht eine Software, die das Sicherheitsteam des Kunden installiert hat und die diesen Header eingibt?

Ich greife auf die Site auf localhost, so kann ich mir nicht vorstellen, dass es ein Netzwerkgerät ist, das das Problem verursacht. Es muss auf dem Server selbst sein, oder?

Irgendwelche Ideen?

Answer 1

Dies könnte in ColdFusion festgelegt werden, vorausgesetzt, es wurde gesperrt. Suchen Sie unter (instanzname) /wwwroot/WEB-INF/web.xml nach den Regeln für clickjack. Könnte wie folgt aussehen:

<filter-mapping> 
    <filter-name>CFClickJackFilterDeny</filter-name> 
    <url-pattern>/*</url-pattern> 
</filter-mapping> 

Eine andere Möglichkeit, um zu sehen, zu testen, ob dies durch IIS verursacht wird, ist eine Rahmen Probe mit geraden HTML-Seiten einzurichten, und wenn es der Block an der Coldfusion-Ebene arbeitet. Wenn gerade HTML nicht funktioniert, geschieht es am IIS oder an einem anderen Serverstandort.

In IIS können HTTP-Antwortheader serverweit (für alle Sites) und/oder standortweit (nur für die aktuelle Site) festgelegt werden.

Ich lese deine Frage noch einmal, ich sehe, dass ich dir vielleicht nicht geholfen habe. Viel Glück.