1. Trang chủ
  2. Câu hỏi và trả lời
  3. HttpOnly có cần thiết khi SSL đã được thiết lập không?

HttpOnly có cần thiết khi SSL đã được thiết lập không?

2011-12-23 29 views
8

Nếu tôi đã đặt SSL cho máy chủ ứng dụng của mình, tôi vẫn cần đặt HttpOnly cho cookie không?HttpOnly có cần thiết khi SSL đã được thiết lập không?

Nguồn

2011-12-23 ysp80

+1

HttpOnly được thiết kế để ngăn chặn các cuộc tấn công XSS. Nó không liên quan gì đến SSL. –

+0

@Marc B httponly không ** KHÔNG ** ngăn chặn các cuộc tấn công xss, đừng lan truyền điều đó. XSS vẫn rất dễ bị khai thác, hãy nhìn sâu bọ sammy. – rook

Trả lời

14

Có. Hai lá cờ không có gì để làm với nhau (cả hai đều là tùy chọn bảo mật/riêng tư, mặc dù)

  • "An toàn" có nghĩa rằng cookie sẽ chỉ được gửi qua các kết nối được mã hóa

  • "HttpOnly" có nghĩa là rằng cookie sẽ không hiển thị cho Javascript

Bạn vẫn có thể có XSS trên trang HTTPS, ví dụ (và sau đó tập lệnh ác có thể ăn cookie của bạn).

Nguồn

2011-12-23 03:17:02 Thilo

+0

Như tôi đã hiểu, mục đích của việc ăn cắp cookie ở đây là để chiếm quyền điều khiển phiên. Nếu SSL được bật, không thể thực hiện việc chiếm đoạt phiên? (Tôi có đúng ở đây không?) – ysp80

+0

Với XSS, bạn có thể có Javascript độc hại để đọc cookie phiên. Sau đó bạn có thể gửi nó đến một máy chủ khác (ví dụ bằng cách tạo một thẻ hình ảnh ẩn với giá trị cookie trong URL) và chiếm quyền điều khiển phiên. – Thilo

+0

Nhưng có thể chiếm đoạt phiên khi SSL đã được bật không? – ysp80

Các vấn đề liên quan

 Các vấn đề liên quan