在介绍HttpOnly之前，我想跟大家聊聊Cookie及XSS。 随着B/S的普及，我们平时上网都是依赖于http协议完成，而Http是无状态的，即同一个会话的连续两个请求互相不了解，他们由最新实例化的环境进行解析，除了应用本身可能已经存储在全局对象中的所有信息外，该环境不保存与会话有关的任何信息， ...
分类：
Web程序 时间：
2018-08-18 00:41:31
阅读次数：
194
POST http://www.cytxl.com.cn/api/common/login.php?XDEBUG_SESSION_START=netbeans-xdebug HTTP/1.1Host: www.cytxl.com.cnUser-Agent: Mozilla/5.0 (Windows ...
分类：
Web程序 时间：
2018-08-16 19:33:53
阅读次数：
362
一、Cookie 通过 Set-Cookie 设置、 下次浏览器请求就会带上、 键值对，可以设置多个。 Cookie 属性 max-age 和 expires 设置过期时间 Secure 只在 https 的时候发送 HttpOnly 无法通过 document.cookie 访问 server.j ...
分类：
Web程序 时间：
2018-08-03 01:19:02
阅读次数：
208
https://www.jb51.net/article/105018.htm PHP中的设置 PHP5.2以上版本已支持HttpOnly参数的设置，同样也支持全局的HttpOnly的设置，在php.ini中 session.cookie_httponly = 1 设置其值为1或者TRUE，来开启全 ...
分类：
Web程序 时间：
2018-08-01 11:59:33
阅读次数：
273
未启用 HttpOnly，×××者就能更容易地访问用户 cookie，会造成XSS××× 在web.xml里加入这个启用即可<session-config>
<cookie-config>
<http-only>true</http-only>
</cookie-c
分类：
Web程序 时间：
2018-07-21 16:48:57
阅读次数：
141
CRF攻击原理 用户访问恶意网站，被恶意网站利用用户信息对用户的信息进行盗取，对用户发送邮件、短信或者转账支付等恶意行为。 1、用户A在访问信任网站B，并进行登录。 2、信任网站B返回给用户A的cookie。 3、用户A在没有退出网站A的情况下，访问恶意网站C 4、恶意网站C通过用户的cookie访 ...
分类：
其他好文 时间：
2018-07-02 23:04:22
阅读次数：
227
利用cookie-session 去判断用户是否登录。使用签名去判断。 ...
分类：
其他好文 时间：
2018-06-02 00:30:57
阅读次数：
164
cookie主要作用是：浏览器存储服务端的少量数据。 我以前了解到的：cookie放在浏览器中可能被第三方网站拿到，从而攻击服务器。然后就了解到用token或者网页参数来防止攻击。 现在知道cookie有一个httponly属性，这样的话，浏览器js不能直接获取。安全更进一步。 附上cookie基本 ...
分类：
其他好文 时间：
2018-05-15 22:35:25
阅读次数：
165
在webbowser中，如果想获取cookie可以使用如下方法 webBrowser1.Document.Cookie; 但是这个方法获取的cookie往往不全。 需要使用如下方法 调用的时候必须传入完整的URL cookie = CookieReader.GetCookie(this.webBro ...
分类：
其他好文 时间：
2018-05-09 20:58:59
阅读次数：
169
A：Tomcat 中维持Java webapp的Http会话是以Cookie形式实现的存储在服务端用户状态信息的；B：服务端可以自定义建立Cookie对象及属性传递到客户端；服务端建立的Cookie如果没有设置HttpOnly属性，则在客户端可以用js读取Cookie中的内容（客户端脚本可以读取Session Cookie内容进行诸如CSRF/XSS恶意http攻击）；方法：为HttpSessio
分类：
Web程序 时间：
2018-03-29 17:23:11
阅读次数：
445
