今日公司的很久前的宁夏项目被甲方拿去找专业的公司扫描漏洞,有一条是检测到会话cookie中缺少HttpOnly属性
意思大概是通过js可以获得用户的cookie信息从而进行攻击
更改方法:
tomcat6支持对JSESSIONID的cookie设置HttpOnly, 具体的设置是在conf/context.xml配置文件中进行设置的,为Context标签添加如下属性即可开启或禁止HttpOnly:
<Context useHttpOnly="true">
今日公司的很久前的宁夏项目被甲方拿去找专业的公司扫描漏洞,有一条是检测到会话cookie中缺少HttpOnly属性
意思大概是通过js可以获得用户的cookie信息从而进行攻击
更改方法:
tomcat6支持对JSESSIONID的cookie设置HttpOnly, 具体的设置是在conf/context.xml配置文件中进行设置的,为Context标签添加如下属性即可开启或禁止HttpOnly:
<Context useHttpOnly="true">