XSS漏洞防御之HttpOnly

Posted 2020-12-12 cl0ud

　　WWW服务依赖于Http协议实现，Http是无状态的协议，所以为了在各个会话之间传递信息，就需要使用Cookie来标记访问者的状态，以便服务器端识别用户信息。

　　Cookie分为内存Cookie和硬盘Cookie，内存Cookie储存在浏览器内存中，关闭浏览器则消失。如果是想要利用保存在内存中的Cookie，需要获取到用户Cookie+用户浏览器未关闭。如果是硬盘Cookie，则该Cookie是一段时间有效的（有的时候我们登录网站会出现保持登录状态的选项，即保存在硬盘中），这类Cookie获取到后在其有效期内都是可以进行受害者用户身份登录的，进而实现入侵。

　　Cookie由变量名与值组成，其属性里有标准的cookie变量，也有用户自定义的属性。Cookie保存在浏览器的document对象中，对于存在XSS漏洞的网站，入侵者可以插入简单的XSS语句执行任意的JS脚本，以XSS攻击的手段获取网站其余用户的Cookie。

　　Cookie是通过http response header种到浏览器的，设置Cookie的语法为：

Set-Cookie:=[;=][;expiress=][;domain=][;path=][;secure][;httponly]

　　Cookie各个参数详细内容：

• Set-Cookie:http响应头，向客户端发送Cookie。

• Name=value:每个Cookie必须包含的内容。

• Expires=date:EXpires确定了Cookie的有效终止日期，可选。如果缺省，则Cookie不保存在硬盘中，只保存在浏览器内存中。

• Domain=domain-name:确定了哪些inernet域中的web服务器可读取浏览器储存的Cookie，缺省为该web服务器域名。

• Path=path:定义了web服务器哪些路径下的页面可获取服务器发送的Cookie。

• Secure:在cookie中标记该变量，表明只有为https通信协议时，浏览器才向服务器提交Cookie。

• Httponly:禁止javascript读取,如果cookie中的一个参数带有httponly，则这个参数将不能被javascript获取；httponly可以防止xss会话劫持攻击。

　　想要获取到用户的Cookie，攻击者通常是利用网站的XSS漏洞进行用户Cookie的窃取，跨站脚本简称xss（cross-site scripting），利用方式主要是借助网站本身设计不严谨，导致执行用户提交的恶意js脚本，对网站自身造成危害。xss漏洞是web渗透测试中最常见而又使用最灵活的一个漏洞。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了html以及用户端脚本语言。

　　有的网站考虑到这个问题，所以采用浏览器绑定技术，例如将Cookie和浏览器的User-agent进行绑定，一旦发现绑定不匹配则认为Cookie失效，但是这种方法存在很大的弊端，因为当入侵者获取到Cookie的同时也能获取到用户的User-agent;另一种防止XSS获取用户Cookie的方式是将Cookie和Remote-addr相绑定（即与IP绑定），但是这样的弊端是可能会带来极差的用户体验，如家里的ADSL拨号上网就是每次拨号连接更换一个IP地址。

　　所以HttpOnly就应运而生了 ??

　　HttpOnly最早由微软提出，并在IE6 中实现，至今已经逐渐成为一个标准，各大浏览器都支持此标准。具体含义就是，如果某个Cookie带有HttpOnly属性，那么这一条Cookie将被禁止读取，也就是说，JavaScript读取不到此条Cookie，不过在用户与服务端交互的时候，HttpRequest包中仍然会带上这个Cookie信息，即用户与服务端的正常交互不受影响。

　　HttpOnly的设置过程十分简单，而且效果明显。可以看到在上面的Cookie的参数里面存在：

Httponly:禁止javascript读取,如果cookie中的一个参数带有httponly，则这个参数将不能被javascript获取；httponly可以防止xss会话劫持攻击。

　　该参数如其名，就是设置HttpOnly的。

　　但需要注意的是，所有需要设置Cookie的地方，都要给关键的Cookie添加上HttpOnly，若有遗漏的话就会功亏一篑。

　　另外，HttpOnly不是万能的，添加了HttpOnly不等于解决了XSS问题，它有助于缓解XSS攻击，但它并不能解决XSS漏洞的问题，也就是使用了HttpOnly只是在一定程度上抵御XSS盗取Cookie的行为，另外HttpOnly也不能防止入侵者做AJAX提交。严格来说HttpOnly并不是为了对抗XSS，它解决的是XSS后的Cookie劫持问题，但是XSS攻击带来的不仅仅是Cookie劫持问题，还有窃取用户信息，模拟身份登录，操作用户账户等一系列问题。所以除了HttpOnly之外还需要其他的对抗解决方案。

　　安全是一个整体，网络安全没有银弹，最好的应对方式是抓住当下，脚踏实地，所有妄想一步解决所有问题的都是耍流氓

　　参考链接：

https://juejin.im/post/5bac9e21f265da0afe62ec1b

https://www.biaodianfu.com/http-only-cookie-xss.html

https://blog.lsqy.space/2017/08/25/170825%E6%B5%85%E8%B0%88XSS%E6%BC%8F%E6%B4%9E%E6%94%BB%E5%87%BB%E4%B8%8E%E9%98%B2%E5%BE%A1/