http只有cookie的點是什麼？

假設您在您的網站上發生了XSS攻擊。黑客可以通過cookie提出任何請求。那麼，從客戶端隱藏這個值有什麼意義呢？http只有cookie的點是什麼？

2017-07-01 Vova

那麼Http只有cookie可以被服務器訪問。他們不能從JavaScript訪問。這意味着黑客將更難以使用這些cookie供自己使用。

Http只有cookie可以減少在網站上發生跨站點腳本攻擊的可能性。

請參閱此鏈接瞭解更多信息：https://www.owasp.org/index.php/HttpOnly

2017-07-02 05:55:30

在XSS攻擊，「黑客可以與任何的cookie要求」，但不是所有的cookies。如果一個cookie是HttpOnly，它不能被客戶端JavaScript訪問，這意味着黑客無法讀取cookie值並將其發送到他自己的服務器，甚至不知道這個cookie是否存在。

通常，當HttpOnly用於保護的cookie，cookie的Domain也被設置（如果Domain在HTTP響應的報頭Set-Cookie缺失，瀏覽器將設置cookie的域作爲HTTP連接的主機名）。黑客可以觸發HTTP請求，並使瀏覽器在請求中放入HttpOnly Cookie，但它會受到Cookie的Domain的限制 - 只有在其Domain與HTTP請求匹配時纔會發送cookie。因此，HttpOnly Cookie與網站的Domain是安全的，它不會泄露給XSS攻擊者。

來源

2017-07-02 10:14:46 shaochuancs

他不需要知道cookie值，他只是讓請求和瀏覽器提出請求。 – Vova

@Vova是的，瀏覽器會在HTTP請求中放置'HttpOnly' Cookie。但通常Cookie會有一個「Domain」屬性，它會限制請求中發送的Cookie。對於具有網站'Domain'的HttpOnly cookie，XSS攻擊者只能觸發HTTP請求並將該cookie發送到網站服務器。他/她無法將該cookie發送到他/她自己的服務器，這使cookie保持安全。 – shaochuancs

存在攻擊繞過httponly標誌，跨站點跟蹤（XST）。它通過做一個TRACE請求並從javascript中得到cookie的答案。顯然，如果Web服務器使用TRACE方法，就會發生這種情況。 – sinkmanu

http只有cookie的點是什麼？

回答

相關問題