Добавьте атрибут HttpOnly ко всем сеансовым cookie - PullRequest
9 голосов
/ 29 февраля 2012

Я получил следующую ошибку при проверке моего сайта. Я разработал свой сайт с использованием JSP, сервлетов, Java-классов.

Отсутствует атрибут HttpOnly в файле cookie сеанса

Риски безопасности

Можно украсть или манипулировать сеансом клиента и файлами cookie, которые могут быть используется для олицетворения законного пользователя, позволяя хакеру просматривать или изменять записи пользователя, и выполнять транзакции от имени этого пользователя

Причины:

Веб-приложение устанавливает сеансовые куки без HttpOnly атрибут

Задачи исправления:

Добавить атрибут 'HttpOnly' во все сеансовые куки

Я передаю маркер безопасности Java в качестве скрытого параметра при нажатии на кнопку отправки. Как добавить этот атрибут HttpOnly в этот токен?

Ответы [ 2 ]

12 голосов
/ 29 февраля 2012

Атрибут HttpOnly установлен на Cookies , и они (обычно) передаются с сервера на клиент, а не с клиента на сервер. HttpOnly не является атрибутом, который вы можете установить в форме или параметре формы. Здесь клиент - это браузер, а сервер - это сервер Java EE, на котором выполняется ваше приложение Java.

Файлы cookie обычно создаются сервером, передаются в браузер и затем передаются обратно. Теперь можно создавать файлы cookie и манипулировать ими, используя JavaScript, который может быть полезен, но также может быть дырой в безопасности Таким образом, Cookie HttpOnly доступен только серверу , или, другими словами, он недоступен из клиентского JavaScript, который защищает ваш сайт от некоторых форм XSS-атак. Таким образом, браузер сохранит и вернет файл cookie HttpOnly, но не изменит его и не позволит вам создать его на клиенте; Cookie HttpOnly должен быть создан на сервере.

Если вы используете JSP, скорее всего, ваш сервер автоматически создает Cookie для управления сессиями для вас; это файл cookie, для которого вам нужно установить атрибут HttpOnly. Метод установки HttpOnly на вашем SESSIONID Cooke будет зависеть от контейнера.

2 голосов
/ 12 сентября 2013

удалось установить атрибут "HttpOnly" в файлах cookie сеанса?

Я нашел этот код, чтобы сделать это на https://www.owasp.org/index.php/HttpOnly

<session-config>
 <cookie-config>
  <http-only>true</http-only>
 </cookie-config>
<session-config>
Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...