Tanjot-Singh-cyber/headerguard

# HeaderGuard ### HTTP Security Header Analyzer HeaderGuard 扫描任意网络目标，并分析其 HTTP 响应头是否符合关键安全头部的检查清单。它识别缺失项、配置错误项，分配严重等级，解释攻击向量，并对目标给出整体安全等级。 使用 Python + Flask 构建，托管在 Replit 上。 ## 分析内容 | 头部 | 严重等级 | 防御的攻击 | |---|---|---| | Content-Security-Policy | 高 | XSS — 阻止注入恶意脚本 | | Strict-Transport-Security | 高 | 中间人攻击 — 强制 HTTPS，防止降级攻击 | | X-Frame-Options | 中 | 点击劫持 — 阻止 iframe 嵌入 | | X-Content-Type-Options | 中 | MIME 嗅探 — 阻止浏览器猜测内容类型 | | Referrer-Policy | 低 | 数据泄露 — 控制发送给第三方的引用信息 | | Permissions-Policy | 低 | 功能滥用 — 限制摄像头、麦克风、地理位置访问 | ## 功能特性 - **三状态头部分析** — 存在、弱配置 或 缺失（不只是通过/失败） - **攻击解释** — 对每个缺失或弱配置头部，展示攻击者实际能做什么 - **弱配置检测** — 标记危险的 CSP 指令（如 `unsafe-inline` 和 `unsafe-eval`）、短时间的 HSTS `max-age`、以及已弃用的 `X-Frame-Options: ALLOW-FROM` - **信息泄露检测** — 标记暴露的 `Server`、`X-Powered-By` 和 `X-AspNet-Version` 头部，这些会暴露技术栈 - **重定向跟踪** — 检测 HTTP → HTTPS 重定向 - **响应时间测量** — 显示服务器响应延迟（毫秒） - **安全等级** — 基于加权评分从 A+ 到 F - **风险等级** — 根据缺失情况分为 严重 / 高 / 中 / 低 ## 漏洞赏金侦察用例 HeaderGuard 可作为在 HackerOne 或 Bugbase 等平台进行挖掘前的**第一步侦察**。 缺失的头部很少能单独作为发现项，但它们揭示了攻击面： - **缺少 CSP** → XSS 载荷不会被阻止 → 挖掘注入点 - **缺少 HSTS** → 检查该网站的 HTTP 版本是否暴露了敏感端点 - **缺少 X-Frame-Options** → 寻找点击劫持机会，例如在支付或账户设置页面 - **信息泄露** → 暴露的服务器版本 → 针对该版本研究已知 CVE 请使用扫描结果决定深入挖掘的方向，而不是将其作为独立的发现项。 ## 技术栈 - Python 3 - Flask - Requests - HTML / CSS / JavaScript（原生） ## 项目结构 ``` headerguard/ ├── main.py # Flask app — routes ├── analyzer.py # Core analysis logic ├── requirements.txt # Dependencies ├── templates/ │ └── index.html # Frontend UI └── static/ └── style.css ``` ## 本地运行 ``` git clone https://github.com/Tanjot-Singh-cyber/headerguard.git cd headerguard pip install -r requirements.txt python main.py ``` 然后在浏览器中打开 `http://localhost:5000`。 ## 示例结果 针对真实目标进行测试： | 目标 | 等级 | 备注 | |---|---|---| | google.com | F | 缺少 CSP、HSTS 等 — 营销页面的有意配置 | | hackerone.com | C | 表现优于平均，但仍缺少关键头部 | | portswigger.net | D | Burp Suite 的制造者 — 仍缺少关键头部 | | bugbase.in | D | 印度漏洞赏金平台 | ## 作者 Tanjot Singh — B.Tech CSE，MIET Jammu [GitHub](https://github.com/Tanjot-Singh-cyber)

标签：Bug Bounty, CSP, Flask, HSTS, HTTP安全头分析, MIME嗅探防护, MITM防护, Permissions-Policy, Python, Referrer-Policy, Web安全, X-Content-Type-Options, X-Frame-Options, XSS防护, 可自定义解析器, 后端开发, 响应时间测量, 字符串匹配, 安全头检查, 安全头缺失, 安全标准, 安全评分, 弱配置检测, 数据泄露防护, 无后门, 服务器信息泄露, 点击劫持防护, 特征探测, 网络探测, 蓝队分析, 逆向工具, 重定向跟踪