| 여러장의 이미지 간단히 합치기 | 움직이는GIF만들기 | 썸네일 쉽게 만들기
BLOG main image
분류 전체보기 (78)
I am (0)
Today (1)
개발자이야기 (10)
나만의 유용한정보 (7)
서버관련 (38)
지름신 (5)
사진/여행 (1)
끄적끄적 (4)
골프 (8)
주식 (2)

memcached monitor tool 소개
§ 청명공자's NotePad §
ssh 접속시 rsa 인증을 통해서..
컴ⓣing의 주절거림 in textcube
«   2017/01   »
1 2 3 4 5 6 7
8 9 10 11 12 13 14
15 16 17 18 19 20 21
22 23 24 25 26 27 28
29 30 31        
804,504 Visitors up to today!
Today 154 hit, Yesterday 345 hit
daisy rss
티스토리 가입하기!
'httpOnly'에 해당되는 글 1건


2015.04.07 15:21

요즘은 DDOS공격같은 방법보다는 웹쉘이나  XSS삽입공격등으로 사이트를 위협하고 있습니다.

 

특히 XSS관련 공격은 가장 빈번한 방법으로

대부분의 사이트들의 인증은 쿠키(세션)를 통한 방식으로 하기때문에 "쿠키 하이제킹 방지" 코드만

넣어도 어느정도 방어가 됩니다.

거의 모든 브라우져에서 지원되므로, 아래와 같은 방식으로 코드를 넣으면 도움이 됩니다.

 

 

쿠키 사용예)

PHP 5.x 이상

SetCookie("auth_xxx",$user,0,"/",".makeshop.co.kr",false, true);

PHP 4.x

SetCookie("auth_xxx",$user,0,"/",".makeshop.co.kr; httponly");

 

세션을 사용예) ( php5.2 이상)

php.ini 에서

session.cookie_httponly = true;

설정후 php 재가동

 

서버에서 보내는 쿠키 헤더값은 아래와 같네요.

HTTP/1.1 200 OK
Server: nginx
Date: Tue, 07 Apr 2015 05:06:07 GMT
Content-Type: text/html
Connection: keep-alive
Set-Cookie: test=123; path=/; domain=test.co.kr; httponly

 

브라우져를 재가동후 사이트접속(로그인)후
주소창에
javascript:document.cookie
입력하여 확인해보면, 설정한 쿠키(세션) 이 보이지 않은것을 확인할 수 있습니다. :)

 

 

저작자 표시 비영리 변경 금지
신고
Name
Password
Homepage
Secret
prev"" #1 next