คุกกี้จากการโจมตีป้องกัน XSS
ยังจำจี้ภาคสามเทคนิค? ทำนาย, บันทึก, fixate session cookies ดีวิธีหนึ่งคือการจับคุกกี้ XSS (cross site scripting) โดยฉีดสคริปต์ในเบราว์เซอร์ของเหยื่อจากนั้นสคริปต์เพื่ออ่านและส่งคุกกี้เพื่อโจมตีเซิร์ฟเวอร์ของ สคริปต์อ่านคุกกี้ผ่าน document.cookie ที่มีการเตรียมสคริปต์เพื่อให้สามารถจัดการกับคุกกี้เบราว์เซอร์ในฝั่งไคลเอ็นต์
วิธีป้องกันคุกกี้จากกรณีขโมยของการโจมตี XSS? พัฒนาแท้จริงควรพยายามให้แน่ใจว่าไม่มีข้อบกพร่อง XSS ในการใช้งานเว็บ แต่ไม่สะดวกในการป้องกัน XSS มีพันธุ์จำนวนมากในการเขียนแท็ก script / ที่ช่วยให้มีการฉีด script หากมีแท็กไม่ได้รับอนุญาตในการสมัครก็ง่าย
ป้องกัน XSS แต่ถ้าพัฒนาอยู่ในสถานการณ์ที่มีแท็กได้รับอนุญาตและที่ไม่ควรนี้เป็นเรื่องยากและมักจะมีโอกาสพัฒนา
จริงๆแล้วมีธงจากคุกกี้เมื่อใช้จะช่วยป้องกันการโจรกรรมของคุกกี้เมื่อมี XSS หลุมมี ธงดังกล่าวเป็น httpOnly และปลอดภัย เมื่อคุกกี้ที่ได้รับธง httponly / ปลอดภัยแล้ว javascript จะไม่สามารถเข้าถึงคุกกี้ที่ผ่าน document.cookie แต่ธงนี้ไม่ได้ป้องกัน XSS, flag นี้เท่านั้นจะช่วยป้องกัน
คุ้กกี้ จำมีการโจมตีอื่น ๆ ที่สามารถตอบได้ XSS และอื่นอันตรายกว่าขโมยคุกกี้ นักพัฒนาจึงยังคงต้องระมัดระวังก่อนแสดงอะไรในโปรแกรมเบราว์เซอร์ ธงนี้เป็นจริงมีประโยชน์มาก แต่น่าเสียดายที่ใช้ไม่ค่อยเพราะธงนี้อาจไม่เป็นที่นิยมและนักพัฒนาหลายคนไม่ทราบ
เรียนรู้เพิ่มเติมเกี่ยวกับธง httponly และปลอดภัยโปรดอ่านเมื่อ :
http://www.ilmuhacking.com/web-security/protecting-cookie-from-xss-using-httponly-secure-flag/
คิดเห็น