ab-intermedia.com

Vẫn còn nhớ cướp ba phiên kỹ thuật? Dự đoán, chụp, fixate cookie phiên. Vâng, một trong những kỹ thuật hiện có để nắm bắt các cookie XSS (cross site scripting), bằng cách tiêm một kịch bản trên trình duyệt của nạn nhân, sau đó kịch bản để đọc và gửi cookies đến máy chủ của kẻ tấn công. Các kịch bản đọc các cookie thông qua các document.cookie người đã được chuẩn bị để các script có thể thao tác các cookie trình duyệt trên các mặt hàng.

Làm thế nào để bảo vệ các tập tin cookie từ các trường hợp trộm cắp của các cuộc tấn công XSS? Thực tế phát triển nên cố gắng đảm bảo rằng không có lỗi XSS trong các ứng dụng web, nhưng nó không phải dễ dàng để ngăn XSS. Có rất nhiều biến thể của văn bản thẻ / script cho phép tiêm của kịch bản. Nếu tất cả các thẻ html không được cho phép trong đơn, đó là dễ dàng
ngăn ngừa XSS. Nhưng nếu các nhà phát triển đang ở trong một tình huống mà có các thẻ html được phép và không nên, đây là một nhà phát triển khó khăn và thường là cơ hội.

Trên thực tế có cờ từ khi được sử dụng cookie sẽ giúp ngăn ngừa các hành vi trộm cắp của các cookie khi có lỗ hổng XSS. flag như vậy là httpOnly và an toàn. Khi các tập tin cookie đã được trao cờ httponly / an toàn, sau đó là javascript sẽ không thể truy cập các tập tin cookie thông qua document.cookie. Nhưng điều này không ngăn cản flag XSS, lá cờ này chỉ giúp bảo vệ
cookies. Hãy nhớ rằng có rất nhiều cuộc tấn công khác có thể được thực hiện bằng XSS, và nguy hiểm hơn ăn cắp cookies. Vì vậy, các nhà phát triển vẫn phải cẩn thận trước khi hiển thị bất cứ điều gì trên trình duyệt của khách hàng. Cờ này là thực sự rất hữu ích, nhưng tiếc là ít được sử dụng bởi vì lá cờ này có thể không phổ biến và không phát triển nhiều người biết.

Tìm hiểu thêm về cờ httponly và an toàn xin vui lòng đọc trên:
http://www.ilmuhacking.com/web-security/protecting-cookie-from-xss-using-httponly-secure-flag/