[ziolo86]

#webdev #websecurity

czy zabezpieczenie przed csrf przez token ma sens jeżeli nie zabezpieczamy się przed xss?
Dobrze myślę, ze jeżeli mogę odczytać cookies to mogę też chyba odczytać wartość pola .*token?

[G.....n]

@ziolo86: Ma sens.

[SmiesznyKrolik]

@ziolo86: Ciastko powinno miec flage HTTP-ONLY

[SmiesznyKrolik]

@ziolo86: Wtedy nie dobierzesz sie do niego z poziomu JS, wiec XSS wiele nie zdziala

[ziolo86]

@SmiesznyKrolik: dzięki

[SmiesznyKrolik]

Ogolnie wszystkie te ataki sa w jakis sposob polaczone. Czasami jeden jest niemozliwy bez drugiego itp.

Kilka podstawowych zasad:
- Ciastka sesyjne powinny miec flagi HTTP-ONLY i SECURE; Nawet z XSSem nikt nieprzejmie sesji itp.
- XSS: Eskejpujemy wszystko co drukujemy dynamicznie z kodu aplikacji, bez wyjatku, najlepiej stosowac jakies wbudowane klasy frameworka w stylu Html::encode(zmienna) i tylko tak drukowac dane, bez tego latwo wpasc w pulapke. Warto tez pamietac zeby zajac