***者利用XSS漏洞获取cookie或者session劫持,如果这里面包含了大量敏感信息(身份信息,管理员信息)等,***这里用获取的COOKIE登陆账号,并进行非法操作。

COOKIE设置httponly属性可以化解XSS漏洞***带来的窃取cookie的危害。


PHP中COOKIE设置方法:

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, false);

?>

最后一个字段false是为不设置httponly属性,true为已设置httponly属性。


测试内容:

本次测试环境,搭建一个包含XSS漏洞的php环境。

地址:http://localhost/home.php

如图所示:

wKioL1hsi9ThLJtKAAARVf5-0l0104.jpg

存在xss漏洞,获取cookie的代码为:


获取COOKIE的页面为:http://localhost/cookie_collect.php

如图所示:

cookie设置httponly属性防护XSS***_第1张图片


测试01

未设置httponly属性,cookie设置为:

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, false);

?>

测试结果:

获取到cookie的内容,如图所示:

cookie设置httponly属性防护XSS***_第2张图片

访问日志内容为:

wKiom1hsjYLiS_JJAABGWiXDlus217.jpg-wh_50

测试结果:利用跨站漏洞可以获取cookie内容。

测试02

设置httponly属性,cookie设置为:

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, true);

?>

测试结果:

未获取到cookie的内容,如图所示:

cookie设置httponly属性防护XSS***_第3张图片

访问日志内容为:

wKiom1hsjr3Ci9D1AAAuMBXMc7c721.jpg-wh_50

测试结果:利用跨站漏洞不能够获取cookie内容。