会话Cookies未被标记为HTTPOnly /Secure

会话Cookies未被标记为HTTPOnly

漏洞描述

如果在cookie上设置了HttpOnly属性，那么cookie的值就不能被客户端的JavaScript读取或设置。这项措施使某些客户端攻击（如跨站点脚本）更难被利用，因为它防止了客户端攻击通过注入脚本来获取cookie的值。

漏洞影响

如果cookie未设置HttpOnly属性，可能会很轻易的被诸如 XSS 这类攻击所窃取。

修复建议

通常建议对所有的cookie都设置HttpOnly标志。 除非你特别要求在你的应用程序中，通过合法的客户端脚本来读取或设置cookie的值，否则你应该通过在相关的Set-cookie方法中包含这个属性来设置HttpOnly标志。

会话Cookies未被标记为Secure

漏洞描述

如果在cookie上设置了Secure标志，那么浏览器将不会在任何使用未加密的HTTP连接的请求中提交cookie，从而防止cookie被嗅探网络流量的攻击者轻易截获。

漏洞影响

如果不设置Secure标志，那么如果用户访问Cookie范围内的任何基于HTTP协议的URL时，Cookie将以明文形式传输，攻击者可能会通过流量嗅探的方式截取 cookie 信息。

修复建议

在通过HTTPS访问内容时，应在所有用于传输敏感数据的Cookie上设置Secure标志。如果cookie用于传输会话令牌，那么通过HTTPS访问的应用程序区域应采用自己的会话处理机制，而且所使用的会话令牌绝不应通过未加密的HTTP通信传输。