web渗透测试—-33、HttpOnly[通俗易懂]

大家好，又见面了，我是你们的朋友全栈君。

HttpOnly是微软公司的Internet Explorer 6 SP1引入的一项新特性。这个特性为cookie提供了一个新属性，用以阻止客户端脚本访问Cookie，至今已经称为一个标准，几乎所有的浏览器都会支持HttpOnly。
下面示例显示了HTTP响应标头中HttpOnly使用的语法：

Set-Cookie: <name>=<value>[; <Max-Age>=<age>]
`[; expires=<date>][; domain=<domain_name>]
[; path=<some_path>][; secure][; HttpOnly]

如果HTTP响应标头包含HttpOnly，则无法通过客户端脚本访问Cookie；因此，即使系统存在跨站脚本攻击，并且用户不小心访问了利用此缺陷的链接，浏览器也不会将Cookie泄露给第三方。
如果支持HttpOnly的浏览器检测到包含HttpOnly标志的Cookie，并且客户端脚本代码尝试读取Cookie，则浏览器将返回一个空字符串作为结果，以阻止XSS代码将数据发送到攻击者的网站，从而导致攻击失败。

使用 Java 设置 HttpOnly：
从采用 Java Servlet 3.0 技术的 Java Enterprise Edition 6 (JEE6) 开始，就可以在 cookie 上以编程方式设置 HttpOnly 标志。JEE6、JEE7 都可以通过isHttpOnly方法设置HttpOnly ：

cookie.setHttpOnly(true);

此外，从 JEE 6 开始，HttpOnly 通过以下配置，去设置HttpOnly：

<session-config>
   <cookie-config>
    <http-only>true</http-only>
   </cookie-config>
</session-config>

对于JEE 6之前的Java Enterprise Edition 版本，常见的解决方法是：SET-COOKIE，使用会话cookie值覆盖HTTP响应标头，该值显式附加HttpOnly标志：

String sessionid = request.getSession().getId();
// be careful overwriting: JSESSIONID may have been set with other flags
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly");

在这种情况下，尽管对HttpOnly 标志合适，但不鼓励覆盖，因为 JSESSIONID 可能已设置为其他标志。更好的解决方法是处理先前设置的标志或使用ESAPI#Java_EE库，我们可以编写一个 servlet 过滤器，如下所示：SecurityWrapperResponse

public void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) throws IOException, ServletException { 
   
    HttpServletRequest httpServletRequest = (HttpServletRequest) request;
    HttpServletResponse httpServletResponse = (HttpServletResponse) response;
    // if errors exist then create a sanitized cookie header and continue
    SecurityWrapperResponse securityWrapperResponse = new SecurityWrapperResponse(httpServletResponse, "sanitize");
    Cookie[] cookies = httpServletRequest.getCookies();
    if (cookies != null) { 
   
        for (int i = 0; i < cookies.length; i++) { 
   
            Cookie cookie = cookies[i];
            if (cookie != null) { 
   
                // ESAPI.securityConfiguration().getHttpSessionIdName() returns JSESSIONID by default configuration
                if (ESAPI.securityConfiguration().getHttpSessionIdName().equals(cookie.getName())) { 
   
                    securityWrapperResponse.addCookie(cookie);
                }
            }
        }
    }
    filterChain.doFilter(request, response);
}

一些实现JEE5的Web应用程序服务器和实现Java Servlet 2.5（JEE 5 的一部分）的servlet 容器也允许创建HttpOnly会话cookie：
Tomcat 6在context.xml设置的Context属性useHttpOnly 如下：

<?xml version="1.0" encoding="UTF-8"?>
<Context path="/myWebApplicationPath" useHttpOnly="true">
JBoss 5.0.1和JBOSS EAP 5.0.1在 server <myJBossServerInstance> \deploy\jbossweb.sar\context.xml 设置SessionCookie标签 5如下：
<Context cookies="true" crossContext="true">
    <SessionCookie secure="true" httpOnly="true" />

IBM Websphere为会话 cookie 提供 HTTPOnly 作为配置选项，使用 .NET 设置 HttpOnly，在 .NET 2.0 中，还可以通过 HttpCookie 对象为所有自定义应用程序 cookie 设置 HttpOnly。

<httpCookies httpOnlyCookies="true" …> 

或以编程方式
C# 代码：

HttpCookie myCookie = new HttpCookie("myCookie");
myCookie.HttpOnly = true;
Response.AppendCookie(myCookie);

VB.NET 代码：

Dim myCookie As HttpCookie = new HttpCookie("myCookie")
myCookie.HttpOnly = True
Response.AppendCookie(myCookie)

但是，在.NET 1.1 中，必须手动执行此操作：

Response.Cookies[cookie].Path += ";HttpOnly";

使用 Python 设置 HttpOnly：
要在 Cherrypy 会话中使用 HTTP-Only cookie，只需在配置文件中添加以下行：

 tools.sessions.httponly = True 
 如果使用 SLL，还可以避免中间人攻击：
  tools.sessions.secure = True

使用 PHP 设置 HttpOnly：
PHP 从 5.2.0 开始支持设置 HttpOnly 标志，对于由 PHP 管理的会话 cookie，通过在php.ini中设置HttpOnly：

session.cookie_httponly = True

或通过函数：

void session_set_cookie_params  ( int $lifetime  [, string $path  [, string $domain[, bool $secure= false  [, bool $httponly= false  ]]]] )

对于应用程序 cookie， setcookie() 中的最后一个参数设置 HttpOnly ：

bool setcookie  ( string $name  [, string $value  [, int $expire= 0  [, string $path[, string $domain  [, bool $secure= false  [, bool $httponly= false  ]]]]]] )

Web 应用程序防火墙：
如果代码更改不可行，可以使用 Web 应用程序防火墙将 HttpOnly 添加到会话 cookie：

Mod_security - 使用 SecRule 和 Header 
ESAPI WAF 9 使用add-http-only-flag