HttpOnly是怎么回事?

最近配合公司安全团队开展一些工作,安全团队建议,内部系统(用户端系统有跨域需求,其他方式解决更合适)对接SSO建议开启HttpOnly。HttpOnly?没听说过,赶紧百度一下。

一、什么是HttpOnly

根据Jordan Wiens一篇博客《No cookie for you!》记载,HttpOnly cookie最初是由Microsoft Internet Explorer开发人员于2002年在Internet Explorer 6 SP1的版本中实现。

微软开发者网站介绍,HttpOnly是Set-Cookie HTTP响应头中包含的附加标志。生成cookie时使用HttpOnly标志有助于降低客户端脚本访问受保护cookie的风险(如果浏览器支持它)。

以下示例显示了HTTP响应标头中使用的语法 

HttpOnly是怎么回事?_第1张图片

如果HTTP响应头中包含HttpOnly标志,只要浏览器支持HttpOnly标志,客户端脚本就无法访问cookie。因此,即使存在跨站点脚本(XSS)缺陷,且用户意外访问利用此漏洞的链接,浏览器也不会向第三方透露cookie。

如果浏览器不支持HttpOnly并且网站尝试设置HttpOnly cookie,浏览器会忽略HttpOnly标志,从而创建一个传统的,脚本可访问的cookie。

二、使用HttpOnly减轻最常见的XSS攻击

根据微软Secure Windows Initiative小组的高级安全项目经理Michael Howard的说法,大多数XSS攻击的目的都是盗窃cookie。服务端可以通过在它创建的cookie上设置HttpOnly标志来缓解这个问题,指出不应在客户端上访问cookie。

客户端脚本代码尝试读取包含HttpOnly标志的cookie,如果浏览器支持HttpOnly,则返回一个空字符串作为结果。这样能够阻止恶意代码(通常是XSS攻击)将cookie数据发到攻击者网站。

三、通过Java设置HttpOnly

自Java Enterprise Edition 6(JavaEE 6)采用Java Servlet 3.0技术以来,编程上很容易在cookie上设置HttpOnly标志。

事实上,Cookie有两个方法setHttpOnly和isHttpOnly,cookie(JSESSIONID)也有。 

bb

此外,JavaEE 6开始,也可以通过配置文件WEB-INF/web.xml来配置HttpOnly

HttpOnly是怎么回事?_第2张图片

对于JavaEE 6之前的Java Enterprise Edition版本,常见的解决方法是使用显式附加HttpOnly标志的会话cookie值覆盖SET-COOKIE HTTP响应头

bb

粗暴覆盖并不好,因为JSESSIONID可能已经设置了其他标志。更好的解决方法是处理先前设置的标志。实际上,SecurityWrapperResponseaddCookie方法可以解决这个问题。我们可以编写一个servlet过滤器 

HttpOnly是怎么回事?_第3张图片

一些实现JavaEE 5的Web应用程序服务器和实现Java Servlet 2.5(JavaEE 5的一部分)的servlet容器也允许创建HttpOnly会话cookie

例如Tomcat 6可以在context.xml文件中进行如下设置 

bb

四、用好Web应用防火墙

如果代码更改不可行或成本太高,可以使用Web应用程序防火墙将HttpOnly添加到会话cookie

Mod_security - using SecRule and Header directives

ESAPI WAF - using add-http-only-flag directive

支持HttpOnly的主流浏览器有哪些呢?谷歌了一下,常见的浏览器都支持。 

HttpOnly是怎么回事?_第4张图片

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/31556438/viewspace-2557286/,如需转载,请注明出处,否则将追究法律责任。

转载于:http://blog.itpub.net/31556438/viewspace-2557286/

你可能感兴趣的:(HttpOnly是怎么回事?)