SSLがすでに設定されている場合、HttpOnlyは必要ですか？

私のアプリケーションサーバーにSSLをすでに設定している場合は、Cookie用にHttpOnlyを設定する必要がありますか？SSLがすでに設定されている場合、HttpOnlyは必要ですか？

2011-12-23 ysp80

HttpOnlyは、XSS攻撃を防止するためのものです。 SSLとは何の関係もありません。 –

@Marc B httponlyはxss攻撃を防止しません**、それを広げないでください。 XSSは依然として非常に悪用可能で、サミーのワームを見ます。 – rook

はい。 2つのフラグが（両方ともいえ、セキュリティ/プライバシーオプション、です）

に表示されないことをあなたはまだ（たとえば、その後、悪のスクリプトは、あなたのクッキーを食べることができる）、HTTPSページにXSSを持つことができます。

2011-12-23 03:17:02 Thilo

私が理解しているように、ここでクッキーを盗む目的は、セッションハイジャックのためです。 SSLが有効になっている場合、セッションハイジャックはできません。（私はここで訂正しますか？） – ysp80

XSSを使用すると、悪質なJavascriptでセッションCookieを読み取ることができます。その後、別のサーバーに送信することができます（たとえば、URLにCookie値を含む隠しイメージタグを作成して）セッションを乗っ取ることができます。 – Thilo

しかし、SSLがすでに有効になっているときにセッションをハイジャックすることは可能ですか？ – ysp80

答えて