Ustawienie HTTPONLY dla klasycznego pliku cookie dla plików Asp

Question

Czy ktoś wie dokładnie, jak ustawić HTTPONLY na klasycznych sesyjnych plikach cookie?

To jest ostatnia rzecz, która została oznaczona w skanie luki i wymaga naprawy ASAP, więc każda pomoc jest doceniana.

~~~ trochę więcej INFORMACJA O mój problem ~~~

Czy ktoś mógłby mi w tym pomóc?

Potrzebuję wiedzieć, jak ustawić HTTPONLY na cookie ASPSESSION utworzone domyślnie z ASP & IIS.

To jest plik cookie automatycznie tworzony przez serwer dla wszystkich stron asp.

W razie potrzeby mogę ustawić HTTPONLY dla wszystkich plików cookie na stronie.

Każda pomoc w tym zakresie byłaby bardzo ceniona.

Dzięki

Dzięki Elliott

Answer 1

Response.AddHeader "Set-Cookie", "CookieName=CookieValue; path=/; HttpOnly" 

Źródło: http://www.asp101.com/tips/index.asp?id=160

Answer 2

This page ma wiele informacji, które jest odpowiednie dla swojego problemu.

.NET 1.1 nie dodaje HttpOnly, ponieważ nie został jeszcze wynaleziony.

Jeśli Twoja aplikacja będzie działać w środowisku .NET 2.0 (przeniosłem kilka klasycznych witryn ASP do wersji 2.0 praktycznie niezmienionej) HttpOnly jest domyślnie ustawiona.

Jeśli dobrze go przeczytam, możesz pobrać plik cookie sesji i dołączyć do niego ; HttpOnly;. On daje przykład Java:

String sessionid = request.getSession().getId(); 
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly"); 

Wreszcie on proponuje:

jeśli zmiany kodu są nieosiągalne, zapory aplikacji internetowych mogą być wykorzystywane, aby dodać HttpOnly do ciasteczek sesyjnych

Edited dodać: dla tych, którzy myślą, że migracja do .NET (która może pomieścić większość klasycznego kodu ASP niezmieniona) jest zbyt drastyczną zmianą, aby uzyskać tak małą funkcję, moje doświadczenie z filtrami ISAPI jest takie, że oni też może być poważnym bólem, aw niektórych typowych sytuacjach (udostępnianie hostingu) nie możesz ich w ogóle używać.

Answer 3

Microsoft zawiera przykład przy użyciu filtru ISAPI do wszystkich ciasteczek wyjazdowej: http://msdn.microsoft.com/en-us/library/ms972826

lub przepisywanie URL może być używany http://forums.iis.net/p/1168473/1946312.aspx

<rewrite> 
     <outboundRules> 
      <rule name="Add HttpOnly" preCondition="No HttpOnly"> 
       <match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" /> 
       <action type="Rewrite" value="{R:0}; HttpOnly" /> 
       <conditions> 
       </conditions> 
      </rule> 
      <preConditions> 
       <preCondition name="No HttpOnly"> 
        <add input="{RESPONSE_Set_Cookie}" pattern="." /> 
        <add input="{RESPONSE_Set_Cookie}" pattern="; HttpOnly" negate="true" /> 
       </preCondition> 
      </preConditions> 
     </outboundRules> 
    </rewrite> 

Answer 4

I skompilowany Microsoft's ISAPI filter example. To rozwiązało mój problem.

ISAPI DLL jest here

Zapraszam do ściągnięcia za darmo.

Answer 5

Jeśli masz IIS7 +, upewnij się, że zainstalowany jest moduł URL Rewrite. Możesz zainstalować go za pomocą instalatora platformy internetowej. Instalator platformy sieciowej można znaleźć w widoku funkcji witryny. Musisz uruchomić Menedżera usług IIS jako administrator.

Kliknij na Microsoft Web Platform Installer w funkcji zobaczyć na swojej stronie internetowej:

Maker czy zainstalowany URL Rewrite Server produktu. Jeśli tak nie jest, zainstaluj go.

z URL Rewrite Server zainstalowanego produktu, można użyć funkcji URL Rewrite na swojej stronie, aby dodać regułę, aby dodać HttpOnly dla Session ID cookies.

Powinieneś zobaczyć, jeśli nie istnieje, to plik web.config stworzony dla swojej stronie ASP. będzie miał następującą zawartość:

Jeśli używasz Firebug Firefox do wglądu cookies, powinieneś teraz zobaczyć HttpOnly flagę: