http-only原理与防御XSS实践

预备知识

XSS攻击

http-only的设计主要是用来防御XSS攻击，所以学习本实验的读者应首先了解XSS攻击的相关原理内容。
跨站点脚本攻击是困扰Web服务器安全的常见问题之一。跨站点脚本攻击是一种服务器端的安全漏洞，常见于当把用户的输入作为HTML提交时，服务器端没有进行适当的过滤所致。跨站点脚本攻击可能引起泄漏Web站点用户的敏感信息。为了降低跨站点脚本攻击的风险，微软公司的Internet Explorer 6 SP1引入了一项新的特性。
对于很多只依赖于cookie验证的网站来说，http-only cookies是一个很好的解决方案，在支持http-only cookies的浏览器中（IE6以上，FF3.0以上），Javascript是无法读取和修改http-only cookies，这样可让网站用户验证更加安全。

实验目的

1）了解http-only的作用及在Cookie中的存在方式。
2）掌握通过设置http-only防御XSS攻击。

实验环境

一台Windows XP主机。
主机部署实验测试网站。
主机安装Fiddler软件。

实验步骤一

触发XSS漏洞

在IE浏览器中访问本实验的测试网站：http://10.1.1.189/httponly-test/login.php。