Выбор ответа Junior XSS и CSP спрашивают часто обновлено
HttpOnly и XSS
Вопрос
Защищает ли флаг HttpOnly у cookie сессии от последствий XSS?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Частично: cookie скрипт не прочтёт, но запросы от имени жертвы отправит. HttpOnly прячет cookie от document.cookie, это мешает украсть сессию.
Варианты ответа
- Частично: cookie скрипт не прочтёт, но запросы от имени жертвы отправитправильный ответ
- Полностью: без доступа к cookie внедрённый скрипт ничего не сделает
- Никак: HttpOnly только запрещает отправку cookie по незащищённому HTTP
- HttpOnly предотвращает сам XSS, запрещая инлайновые скрипты на странице
Разбор
HttpOnly прячет cookie от document.cookie, это мешает украсть сессию. Но внедрённый скрипт работает внутри страницы и может вызывать API, менять настройки, читать данные с экрана. От HTTPS отвечает флаг Secure. Сам XSS HttpOnly не предотвращает.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.