最近公司安排对网站进行渗透测试，经过一波沟通和对接，终于确定下了乙方公司。然后第一步就是进行ASV扫描，扫描后发现了几个问题，结合整改的方案记录如下：
电商系统底版为magento1.9.2，云端部署在aws上。
a、 SSL/TLS Server supports TLSv1.0
解决办法：在elb中更换高版本的tls协议；
验证：nmap --script ssl-enum-ciphers -p 443 www.xxxx.com
b、HTTP Security Header Not Detected
解决办法：nginx.conf添加以下配置并reload
add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options nosniff;
验证：
curl -I www.xxx.com
c、Session Cookie Does Not Contain the "Secure" Attribute
解决办法：app\code\core\Mage\Core\Model\Cookie.php
更改isSecure如下：
public function isSecure()
{
return $this->_getRequest()->isSecure();
}
验证：
https下验证是否成功
d、Cookie Does Not Contain The "secure" Attribute
解决办法：如c