SSL이 이미 설정된 경우 HttpOnly 필요합니까?

내 응용 프로그램 서버에 SSL을 이미 설정 한 경우에도 쿠키에 대해 HttpOnly를 설정해야합니까?SSL이 이미 설정된 경우 HttpOnly 필요합니까?

2011-12-23 ysp80

HttpOnly은 XSS 공격을 막기위한 것입니다. SSL과 아무 관련이 없습니다. –

@Marc B httponly는 xss 공격을 막지 않으며 ** 확산시키지 않습니다. XSS는 여전히 매우 악용 될 수 있으며 새미 웜을 살펴 봅니다. – rook

예. 두 플래그 (모두는하지만 보안/개인 정보 보호 옵션이다)

에 표시되지 않습니다 것을 당신은 여전히 (예를 들어, 다음 악한 스크립트가 쿠키를 먹을 수)가 HTTPS 페이지에 XSS있을 수 있습니다.

2011-12-23 03:17:02 Thilo

제가 이해하는 바와 같이, 여기에서 쿠키를 훔치는 목적은 세션 하이재킹을위한 것입니다. SSL이 사용 설정되면 세션 도용은 불가능합니다. (내가 맞습니까?) – ysp80

XSS를 사용하면 악의적 인 Javascript로 세션 쿠키를 읽을 수 있습니다. 그런 다음 다른 서버로 보낼 수 있습니다 (예 : URL의 쿠키 값을 사용하여 숨겨진 이미지 태그를 만들어 세션을 가로 채기). – Thilo

하지만 SSL이 이미 활성화되어 있으면 세션을 납치 할 수 있습니까? – ysp80

답변