网安系列：第27天：WEB漏洞XSS跨站代码及httponly绕过

---

1. 前言

什么是 HttpOnly：
如果您在 cookie 中设置了 HttpOnly 属性，那么通过 js 脚本将无法读取到 cookie 信息，这样能有效的防止 XSS攻击，具体一点的介绍请 google 进行搜索

可以防止XSS攻击（手法），不意味着防止跨站攻击的漏洞，跨站语句仍旧可以执行

代码类过滤：Xsslabs
HttpOnly 属性过滤防读取

2. 示例

2.1. HttpOnly 安全过滤测试

网站代码添加配置：PHP设置COOKIE的HttpOnly属性
设置参数 session.cookie_httponly 值为 1 （true）。在php.ini 配置中修改或者添加在网页源