HttpOnly 플래그가 없는 민감한 쿠키

Sensitive Cookie Without 'HttpOnly' Flag

설명

'HttpOnly' 플래그가 없는 민감한 쿠키는 JavaScript를 통해 클라이언트 측에서 접근할 수 있어, XSS(Cross-Site Scripting) 공격에 취약해질 수 있습니다.

잠재적 영향

• 쿠키 탈취: 공격자가 XSS 공격을 통해 쿠키를 탈취할 수 있습니다.

• 세션 하이재킹: 탈취된 쿠키를 통해 공격자가 세션을 가로챌 수 있습니다.

• 데이터 유출: 민감한 데이터가 노출될 수 있습니다.

해결 방법

• 'HttpOnly' 플래그 설정: 쿠키 생성 시 'HttpOnly' 플래그를 설정하여 JavaScript에서 접근할 수 없도록 합니다.

• XSS 방지: XSS 공격을 방지하기 위해 입력값 검증 및 인코딩을 철저히 합니다.

• 보안 설정 강화: 쿠키 보안 설정을 강화하여 쿠키의 무단 접근을 방지합니다.

취약한 코드 및 안전한 코드 예시

Django cookie settings

취약한 코드

# Unsafe Django cookie settings
SESSION_COOKIE_HTTPONLY = False
CSRF_COOKIE_HTTPONLY = False

안전한 코드

# Safe Django cookie settings
SESSION_COOKIE_HTTPONLY = True
CSRF_COOKIE_HTTPONLY = True

Flask cookie settings

취약한 코드

# Unsafe Flask cookie settings
from flask import Flask

app = Flask(__name__)
app.config.update(
    SESSION_COOKIE_HTTPONLY=False,
)

안전한 코드

# Safe Flask cookie settings
from flask import Flask

app = Flask(__name__)
app.config.update(
    SESSION_COOKIE_HTTPONLY=True,
)

FastAPI cookie settings

취약한 코드

# Unsafe FastAPI cookie settings
from fastapi import FastAPI, Response

app = FastAPI()

@app.post("/set-cookie")
async def set_cookie(response: Response):
    response.set_cookie(key="session", value="abc123")
    return {"message": "Cookie set"}

안전한 코드

# Safe FastAPI cookie settings
from fastapi import FastAPI, Response

app = FastAPI()

@app.post("/set-cookie")
async def set_cookie(response: Response):
    response.set_cookie(key="session", value="abc123", httponly=True)
    return {"message": "Cookie set"}

설명:

• 취약한 코드: 'HttpOnly' 플래그가 설정되지 않아 JavaScript에서 쿠키에 접근할 수 있습니다.

• 안전한 코드: 'HttpOnly' 플래그를 설정하여 JavaScript에서 쿠키에 접근하지 못하도록 합니다.

참조

• OWASP: Session Management Cheat Sheet

• CWE: CWE-1004: Sensitive Cookie Without 'HttpOnly' Flag