Web 應用程式工作階段 Cookie 未標記為 HttpOnly
medium Nessus Plugin ID 48432
語言:
概要
HTTP 工作階段 Cookie 可能容易遭受跨網站指令碼攻擊的影響。說明
遠端網路應用程式使用 Cookie 追蹤已驗證的使用者。不過，其中有一或多個 Cookie 未標記為「HttpOnly」，這表示惡意用戶端指令碼 (如 JavaScript) 可能讀取這些 Cookie。「HttpOnly」是一個防範跨網站指令碼攻擊的安全性機制，此機制是由 Microsoft 建議使用，且最初是在 Internet Explorer 中實作。所有新瀏覽器都支援此旗標。
請注意：
- 在某些情況下可規避「HttpOnly」。
- 缺少此屬性並不表示 Web 應用程式會容易自動遭受跨網站指令碼攻擊。
- 有些 Web 應用程式需要透過用戶端指令碼操控工作階段 cookie，且無法設定「HttpOnly」屬性。