Django检测到会话cookie中缺少HttpOnly属性手工复现

一、漏洞复现

会话cookie中缺少HttpOnly属性会导致攻击者可以通过程序(JS脚本等)获取到用户的cookie信息,造成用户cookie信息泄露,增加攻击者的跨站脚本攻击威胁。

第一步:复制URL:http://192.168.43.219在浏览器打开,使用F12调试工具;

第二步:选择Application,点击Cookies查看csrftoken的Value信息;

第三步:选择Console,输入命令alert(document.cookie);

第四步:对比csrftoken的Value信息,如果可以获取值相同,说明存在BUG。

二、漏洞修复

在settings.py中添加以下代码:

复制代码
CORS_ALLOW_ALL_ORIGINS = True
CSRF_COOKIE_HTTPONLY = True  # 防止XSS攻击
CSRF_COOKIE_SECURE = True  # 防止CSRF攻击
CSRF_COOKIE_SAMESITE = 'Strict'  # 防止CSRF攻击
SESSION_COOKIE_SECURE = True  # 防止session劫持
SESSION_COOKIE_SAMESITE = 'Strict'  # 防止session劫持
CSRF_TRUSTED_ORIGINS = ['你的域名']  # csrf跨域

此时HttpOnly已经修复,再次选择Console,输入命令alert(document.cookie);

弹出框已经不存在csrftoken的Value信息。

三、HttpOnly 属性的作用

  1. 防止跨站脚本攻击(XSS)

XSS 攻击是一种常见的网络攻击,黑客通过注入恶意脚本来窃取用户 cookie,获取用户敏感信息。将 cookie 设置为 HttpOnly 可以阻止这种攻击,因为恶意脚本无法访问或修改包含敏感信息的 cookie。

  1. 增加会话安全性

由于会话 cookie 经常用于管理用户的登录状态和身份验证,将其设置为 HttpOnly 可以增加会话的安全性。黑客无法在用户的浏览器中获取会话 cookie 的值,进而无法伪造用户身份。

  1. 减少信息泄露风险

将 cookie 设置为 HttpOnly 可以减少敏感信息泄露的风险。即使恶意脚本成功注入网页,它也无法获取存储在 cookie 中的敏感数据。

相关推荐
pingao14137819 分钟前
雨量监测进入智慧时代:自动站守护城市安全
安全
newxtc27 分钟前
【四川政务服务网-注册安全分析报告】
运维·selenium·安全·政务·安全爆破
wifi chicken1 小时前
Linux Wlan 无线协议栈开发-传输层详解
linux·网络协议
XH-hui2 小时前
【打靶日记】THL 之 Facultad
linux·网络安全·1024程序员节·thehackerlabs
熙xi.2 小时前
DHT11温湿度传感器Linux驱动开发完整流程
linux·运维·驱动开发
Yyyy4822 小时前
Ubuntu部署 Kubernetes1.23
linux·运维·ubuntu
calwen2 小时前
Windows 通过 SSH 跳板机安全连接内网开发服务器
服务器
人工智能训练3 小时前
在 Ubuntu 系统中利用 conda 创建虚拟环境安装 sglang 大模型引擎的完整步骤、版本查看方法、启动指令及验证方式
linux·运维·服务器·人工智能·ubuntu·conda·sglang
☆璇3 小时前
【Linux】网络层协议IP
linux·服务器·tcp/ip
金仓拾光集3 小时前
__金仓数据库平替MongoDB全栈安全实战:从文档存储到多模一体化的演进之路__
数据库·安全·mongodb