Merhaba,
Web üzerinde çalışan bir çok uygulama, genellikle yetkilendirme işlemlerinde kullanmak üzere istemci tarafında verileri çerez denilen dosyalarda tutarlar. Bu çerezlerde bulunan bilgilerin bir başka kişi tarafından bilinmesi halinde çeşitli zaafiyetler (yetkilendirme atlatma) ortaya çıkabilir. Örneğin bir web sitesine giriş yaptıktan sonra bilgisayarınızda oluşan çerez bilgilerinin bir saldırganın eline geçmesi, saldırganın site üzerinde sizin kullanıcınızla herhangi bir kullanıcı adı ve parola girmeden işlem yapabilmesine olanak sağlar.
İstemci tarafında çalışan JavaScript'i kullanan siber saldırganlar, bir uygulama XSS zafiyeti varsa kullanıcının çerez bilgileri hedef alabilirler. Bu tür saldırılar ile siber saldırganlar çerez bilgiler okuyabilir ve kendilerine farklı farklı yöntemler ile gönderebilirler. Bu tehlikenin etkilerini azaltmak için uygulama tarafında alınacak önlemlere ek olarak (veri filtreleme), çerezler HttpOnly olarak işaretlenmelidir.
HttpOnly olarak işaretlenmiş çerezler, istemci tarafındaki herhangi bir uygulama tarafından erişilemezler. Bu durumda web uygulamasında XSS açığı bulunsa dahi saldırganlar sizin çerez bilgilerinize erişemeyeceklerdir. Bu erişimi engelleyen sizin tarayıcınızdır, bu yüzden erişimi engellemek için istemci tarafındaki tarayıcının bunu desteklemesi gerekmektedir. Destekleyen tarayıcı listesine https://www.owasp.org/index.php/HTTPOnly#Browsers_Supporting_HttpOnly adresinden ulaşalabilirsiniz.
Son olarak PHP kullanan sunucularda httpOnly’i etkin hale getirmek için php.ini dosyasında ilgili satırı şu şekilde değiştirmeniz yeterli:
> session.cookie_httponly = 1
Çerezlerinizin HttpOnly olarak işaretlenip işaretlenmediğini
phpinfo()
fonksiyonunun çıktısından görebilirisiniz.
Bu makale 0xnur tarafından yazılmış veya yayınlanmıştır.