cookie的安全
作者：邹阳 | 发表于：2016-04-17 21:13:01
阅读量：（229） | 所属栏目：安全
目前各大互联网公司的网站大多使用cookie来实现对用户的认证。如果攻击者拿到了这个认证cookie，就可以登录了用户的账号了
cookie安全注意点
Httponly：防止cookie被xss偷
https：防止cookie在网络中被偷
Secure：阻止cookie在非https下传输，很多全站https时会漏掉
Path :区分cookie的标识，安全上作用不大，和浏览器同源冲突
Httponly：防止cookie被xss偷 xss攻击可以获得用户的cookie。但如果cookie加上了httponly属性，js就无法读取，可以保护我们的cookie不在xss攻击中被偷走 但很多安全从业人员觉得cookie加上httponly了，xss就不算什么漏洞了。这当然是无厘头的，xss是标准的html/js代码注入漏洞，它不仅仅只是可以偷cookie，还可以做很多，下面会有很多例子…
https：防止cookie在网络中被偷 目前主流网站的认证cookie在互联网中都是无保护进行传输的，可能会在网络中被嗅探或其他方式泄露。所以建议安全级别高的网站使用全站https，并且不支持http的访问，而且还要使用HSTS，强制把http的请求转成https请求
Secure：阻止cookie在非https下传输，很多全站https时会漏掉 即使有时候你做了全站https，但你的cookie没有加上Secure属性的话。网络中间人可以在第三方页面中强制你使用http访问做了全站https的domain，此时你的cookie同样会在不安全网络中传输。如果加了secure属性，则此cookie只在https的请求中传输
Path :区分cookie的标识，安全上作用不大，和浏览器同源冲突 cookie还有一个path属性，这是一个区分cookie的标识，安全上作用不大，和浏览器同源策略冲突。因为，路径A下的xss虽然读不到路径B下的cookie，但路径A下的xss完全可以注入代码进入路径B的页面，然后再去读路径B下的cookie
比较好的cookie方案：
1、cookie的不可猜测性
2、httponly+HTTPS+Secure+HSTS
3、同IP不同port，尽量不要部署多个不同的web服务，因为cookie不区分端口
cookie安全注意点
Httponly：防止cookie被xss偷
https：防止cookie在网络中被偷
Secure：阻止cookie在非https下传输，很多全站https时会漏掉
Path :区分cookie的标识，安全上作用不大，和浏览器同源冲突
Httponly：防止cookie被xss偷 xss攻击可以获得用户的cookie。但如果cookie加上了httponly属性，js就无法读取，可以保护我们的cookie不在xss攻击中被偷走 但很多安全从业人员觉得cookie加上httponly了，xss就不算什么漏洞了。这当然是无厘头的，xss是标准的html/js代码注入漏洞，它不仅仅只是可以偷cookie，还可以做很多，下面会有很多例子…
https：防止cookie在网络中被偷 目前主流网站的认证cookie在互联网中都是无保护进行传输的，可能会在网络中被嗅探或其他方式泄露。所以建议安全级别高的网站使用全站https，并且不支持http的访问，而且还要使用HSTS，强制把http的请求转成https请求
Secure：阻止cookie在非https下传输，很多全站https时会漏掉 即使有时候你做了全站https，但你的cookie没有加上Secure属性的话。网络中间人可以在第三方页面中强制你使用http访问做了全站https的domain，此时你的cookie同样会在不安全网络中传输。如果加了secure属性，则此cookie只在https的请求中传输
Path :区分cookie的标识，安全上作用不大，和浏览器同源冲突 cookie还有一个path属性，这是一个区分cookie的标识，安全上作用不大，和浏览器同源策略冲突。因为，路径A下的xss虽然读不到路径B下的cookie，但路径A下的xss完全可以注入代码进入路径B的页面，然后再去读路径B下的cookie
比较好的cookie方案：
1、cookie的不可猜测性
2、httponly+HTTPS+Secure+HSTS
3、同IP不同port，尽量不要部署多个不同的web服务，因为cookie不区分端口