Cookie phpsessid được tạo mà không có cờ bảo mật

Trong tệp cấu hình PHP (php. ini), hãy tìm phiên. cài đặt cookie_httponly và đặt thành True

ini_set("session.cookie_httponly", 1);

1. Nếu nó không hoạt động, bạn phải ghi đè lên cookie đó theo cách thủ công

session_start();
$params = session_get_cookie_params();
setcookie("PHPSESSID", session_id(), 0, $params["path"], $params["domain"],
    false,  // this is the secure flag you need to set. Default is false.
    true  // this is the httpOnly flag you need to set
);

định nghĩa

session_start();
$params = session_get_cookie_params();
setcookie("PHPSESSID", session_id(), 0, $params["path"], $params["domain"],
    false,  // this is the secure flag you need to set. Default is false.
    true  // this is the httpOnly flag you need to set
);

bool setcookie ( string $name [, string $value = "" [, int $expire = 0 [, string $path = "" [, string $domain = "" [, bool $secure = false [, bool $httponly = false ]]]]]] )

Cookie HTTP là một mẩu thông tin nhỏ mà máy chủ gửi đến trình duyệt web của người dùng. Tiêu đề Cookie lưu trữ các cookie HTTP được máy chủ web gửi trước đó với tiêu đề Set-Cookie

Cookie phiên sẽ bị xóa khi trình duyệt tắt và nếu cookie là vĩnh viễn, chúng sẽ hết hạn vào thời điểm được xác định bởi Expires hoặc Max-Age

Có thể giảm thiểu nguy cơ các tập lệnh phía máy khách truy cập vào cookie được bảo vệ bằng cách bao gồm một cờ “HttpOnly” bổ sung trong tiêu đề phản hồi HTTP Set-Cookie

Do đó, trình duyệt sẽ không tiết lộ cookie cho bên thứ ba ngay cả khi tồn tại lỗ hổng cross-site scripting (XSS) trong ứng dụng web

Cách khai thác cookie không có bộ cờ HttpOnly

Trong một cuộc tấn công kịch bản chéo trang, kẻ tấn công có thể dễ dàng truy cập cookie và sử dụng chúng để chiếm quyền điều khiển phiên của nạn nhân

Kẻ tấn công có thể lấy thông tin nhạy cảm có trong cookie

Cách sửa cookie mà không đặt cờ Httponly

Đặt HTTPOnly trên cookie. Điều này giúp giảm thiểu phần lớn các cuộc tấn công XSS cố gắng chiếm cookie và có thể làm rò rỉ thông tin nhạy cảm hoặc cho phép kẻ tấn công mạo danh người dùng

Phương thức HTTP TRACE kết hợp với XSS có thể đọc cookie xác thực, ngay cả khi cờ HttpOnly được sử dụng. Vì vậy, hãy đảm bảo rằng phương thức HTTP TRACE đã bị tắt

Ví dụ hiển thị phản hồi HTTP của máy chủ web với cookie được đặt bằng cách sử dụng tiêu đề phản hồi HTTP Set-cookie

    Set-Cookie: session=219ffwef9w0frtegazxw345; Path=/; Secure; HttpOnly

  

sử dụng. NET để đặt HttpOnly

Khi đặt cookie theo cách thủ công, có một đối tượng CookieOptions dễ dàng mà bạn có thể sử dụng để đặt HttpOnly thành true

Cho cả NGINX và Apache

1. Đi đến nơi bạn đã cài đặt opencart, sau đó tìm /system/library/session. php

2. Tìm thấy

Mã số. Chọn tất cả

if ($this->adaptor && !session_id()) {
			ini_set('session.use_only_cookies', 'Off');
			ini_set('session.use_cookies', 'On');
			ini_set('session.use_trans_sid', 'Off');
			ini_set('session.cookie_httponly', 'On');

Mã số. Chọn tất cả

ini_set('session.cookie_secure', 'On');

4. Lưu tệp và tải lại lên máy chủ của bạn

5. Truy cập trang web ở chế độ ẩn danh của chrome, nhấp vào ổ khóa màu xanh lá cây trên thanh tìm kiếm và bên dưới cookie, thông báo chỉ kết nối an toàn
Cách tốt nhất là nhấp chuột phải, kiểm tra nguồn > nhấp vào tab mạng > làm mới trang . php".
Nên có dấu kiểm bên dưới Chỉ HTTP và Bảo mật cho PHPSESSID.
Xóa cookie trình duyệt của bạn để xem nội dung này ở chế độ không ẩn danh.

6. Đối với cookie Tiền tệ và Ngôn ngữ, hãy mở tải lên/danh mục/bộ điều khiển/khởi động/khởi động. php

7. Tìm thấy

Mã số. Chọn tất cả

setcookie('currency', $code, time() + 60 * 60 * 24 * 30, '/', $this->request->server['HTTP_HOST']);

Mã số. Chọn tất cả

setcookie('currency', $code, time() + 60 * 60 * 24 * 30, '/', $this->request->server['HTTP_HOST'], true, true);

Mã số. Chọn tất cả

Mã số. Chọn tất cả

setcookie('language', $code, time() + 60 * 60 * 24 * 30, '/', $this->request->server['HTTP_HOST'], true, true);

TÙY CHỌN CHỈ dành cho máy chủ APACHE

Chỉnh sửa chính của bạn. htaccess nơi bạn đã cài đặt opencart

Mã số. Chọn tất cả

session_start();
$params = session_get_cookie_params();
setcookie("PHPSESSID", session_id(), 0, $params["path"], $params["domain"],
    false,  // this is the secure flag you need to set. Default is false.
    true  // this is the httpOnly flag you need to set
);

Cookie không có cờ an toàn là gì?

Cookie không có cờ HttpOnly được đặt là gì?

Làm cách nào để sửa cookie SSL không có cờ bảo mật được đặt trong IIS?

Tại sao nên đặt cờ an toàn trong cookie?