javascript - 如何使用 JavaScript 读取 HttpOnly cookie

Question

编辑

“安全 cookie”的含义不明确。澄清一下:

1. 安全如通过 https:// 协议(protocol)发送 - 即。 cookie 不以明文形式发送。被称为“安全标志”

2. 安全，因为在 cookie 中运行的 Javascript 无法读取浏览器——即。document.cookie 将不起作用。称为“HttpOnly”标志。

此编辑是为了澄清原始问题是关于第二种情况的。

---

原始问题

有没有办法用 JavaScript 读取安全 cookie？
我尝试使用 document.cookie 来做到这一点，据我所知 this article about secure cookies and HttpOnly flag ，我无法通过这种方式访问​​安全 cookie。

谁能提出解决方法？

Answer 1

不同的浏览器 enable different security measures when the HTTPOnly标志已设置。例如 Opera 和 Safari 不会阻止 javascript 写入 cookie。但是，在所有主流浏览器的最新版本上始终禁止阅读。

但更重要的是，您为什么要读取HTTPOnly cookie？如果您是开发人员，只需禁用该标志并确保测试您的代码是否存在 xss。我建议您尽可能避免禁用此标志。应始终设置 HTTPOnly 标志和“安全标志”(强制通过 https 发送 cookie)。

如果您是攻击者，那么您想劫持 session 。但是，尽管有 HTTPOnly 标志，但仍有一种简单的方法可以劫持 session 。您仍然可以在不知道 session ID 的情况下进行 session 。 MySpace Samy worm就是这样做的。它使用了 XHR阅读 CSRF token ，然后执行授权任务。因此，攻击者几乎可以做登录用户可以做的任何事情。

人们对HTTPOnly 标志过于信任，XSS仍然可以被利用。您应该围绕敏感功能设置障碍。比如更改密码归档就需要当前密码。管理员创建新帐户的能力应该需要验证码，即 CSRF prevention technique不能轻易绕过 XHR .