HTTP-заголовки — важный источник информации о сервере, приложении и конфигурациях безопасности.
1. Собираем заголовки с помощью curl:
curl -I https://example.com
📍 Покажет основные заголовки ответа (Server, Content-Type, Set-Cookie и др.)
2. Используем расширения и прокси:
📍 Burp Suite — вкладка Proxy → HTTP history для перехвата и анализа
📍 Browser DevTools — вкладка Network, выберите запрос и смотрите заголовки
📍 curl с -v для подробного вывода
curl -v https://example.com
3. Обращаем внимание на критичные заголовки безопасности:
➡️ Content-Security-Policy (CSP) — настройка защиты от XSS
➡️ X-Frame-Options — защита от clickjacking
➡️ Strict-Transport-Security (HSTS) — принудительное HTTPS
➡️ X-Content-Type-Options — предотвращение MIME sniffing
➡️ Set-Cookie — флаги HttpOnly, Secure и SameSite
4. Проверяем отсутствие важных заголовков или их слабые настройки:
📍 Отсутствие HSTS — риск перехвата трафика
📍 CSP с широкими разрешениями — уязвимость к XSS
📍 Cookies без Secure или HttpOnly — риск кражи сессии
5. Анализируем заголовки серверов и приложений:
📍 Заголовок Server может раскрывать версию ПО (Apache, nginx, IIS)
📍 Версии ПО часто содержат известные уязвимости
6. Используем специализированные инструменты:
➡️ securityheaders — быстрый онлайн-анализ заголовков безопасности
➡️ Nmap с скриптами HTTP заголовков
➡️ Nikto — сканер веб-серверов, ищет слабые места в заголовках
💡 Регулярный мониторинг и анализ HTTP-заголовков помогает найти конфигурационные ошибки и усилить защиту веб-приложений.
🐸 Библиотека хакера
#буст