Cookie 属性问题

1

Cookie属性缺乏相关的安全属性，如Secure属性、HttpOnly属性、Domain属性、Path属性、Expires属性等。

2

1. 通过用web扫描工具进行对网站的扫描，如果存在相关cookies的安全性问题，则一般工具都会检测出来，误报率小。或在浏览器调试窗口的网络请求处查看HTTP Header，判断是否设置Cookie属性。

cookie的属性设置不当可能会造成系统用户安全隐患，Cookie信息泄露是Cookie http only配置缺陷引起的，在设置Cookie时，可以设置的一个属性，如果Cookie没有设置这个属性，该Cookie值可以被页面脚本读取。 例如：当攻击者发现一个XSS漏洞时，通常会写一段页面脚本，窃取用户的Cookie，如果未设置http only属性，则可能导致用户Cookie信息泄露，攻击者能够利用该用户的身份进行系统资源访问及操作。如图是设置了cookies属性和没有设置属性，被XSS跨站截获的cookies对比：

设置了httponly属性：

未设置httponly属性：

3

如果网站基于cookie而非服务器端的验证，建议设置Cookie的一些安全属性，jsp参考代码如下：
	response.setHeader("SET-COOKIE", 
	"user=" + request.getParameter("cookie") + "; HttpOnly");

PHP中的设置如下：
PHP5.2以上版本已支持HttpOnly参数的设置，同样也支持全局的HttpOnly的设置，在php.ini中设置session.cookie_httponly，
设置其值为1或者TRUE，来开启全局的Cookie的HttpOnly属性，当然也支持在代码中来开启：
	<?php ini_set("session.cookie_httponly", 1); 
	 // or session_set_cookie_params(0, NULL, NULL, NULL, TRUE); 
	 ?>
	
Cookie操作函数setcookie函数和setrawcookie函数也专门添加了第7个参数来做为HttpOnly的选项，开启方法为： 
	setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 
	setrawcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);


对于PHP5.1以前版本以及PHP4版本的话，则需要通过header函数来设置： 
	  <?php header("Set-Cookie: hidden=value; httpOnly"); ?>