Diskusia – Obrana proti útoku XSS v PHP
SpäťUpozorňujeme, že diskusie pod našimi online kurzami sú nemoderované a primárne slúžia na získavanie spätnej väzby pre budúce vylepšenie kurzov. Pre študentov našich rekvalifikačných kurzov ponúkame možnosť priameho kontaktu s lektormi a študijným referentom pre osobné konzultácie a podporu v rámci ich štúdia. Toto je exkluzívna služba, ktorá zaisťuje kvalitnú a cielenú pomoc v prípade akýchkoľvek otázok alebo projektov.
V každém případě:
ini_set("session.cookie_httponly", 1);
není dostatečná obrana proti session hijackingu.
____
Mírně opožděná reakce, omlouvám se, dlouho jsem tu nebyl. 
Dominik Klapuch:15.6.2015 15:49
Ahoj, samozřejmě že ne. Ale direktivy jako session.cookie_secure asi moc lidí používat nebude, protože slouží jen pro https.
Dále session.use_only_cookies, které je již zapnuto od 5.3.0, takže se o to nemá cenu starat.
V případě, že by ti někdo chtěl ukrást session, využil by právě session.cookie_httponly direktivy.
Samozřejmě je dobré také regenerovat session. Nicméně je třeba implementovat časovač.
Dále můžeš využít session.use_strict_mode direktivu, ale ta je relativně zbytečná, pokud regeneruješ session.
Jako poslední používám vlastní názvy pro session. Nicméně, nedočetl
jsem se, že by toho někdo někdy využil pro krádež session 
Tím jsem chtěl říct, že session hijacking je zase jiné téma než XSS a
obsáhlo by jistě několik článků
session.cookie_secure pokud vím slouží pro to, aby cookie nebyla viditelná, pokud se jedná o spojení http. Čili jakožto obrana proti session hijackingu neslouží. Možná si jen nedokážu představit jak to myslíš.
Měl jsem na mysli XMLHttpRequest a metodu getAllResponseHeaders, ale tohle je celkem známá chyba takže ji už asi ošetřili.
V případě http spojení vždy hrozí MITM, proto se využívá ohlídání
IP adresy
(IP adresa při přihlášení by měla být shodná s IP ze které chodí
všechny požadavky), kde je problém pokud se uživateli tato adresa během
relace mění (znám takové případy -> nic neobvyklého).
Nebo hlavička User-agent, tady je ale problém, kdy je na scéně omezený
počet prohlížečů a útočníkovy nedělá až taký problém zkusit se
kterým se do systému dostane
Pokud máš nastaveno session.cookie_secure, tak se ti session přenesou pouze přes HTTPS, jinak ne. Můžeš si to zkusit na webu pouze s HTTP. Stále to považuji za jakousi ochranu session proti odcizení.
Jistě, v HTTP hrozí sniffování paketů, ale to je zase jiný problém, který můžeš vyřešit pomocí HTTPS, HSTS nebo preload listu.
To jsme odbočili už docela hodně od XSS 
Pokud bych se chtěl držet XSS, tak mi v článku dost chybí zmínění o
CSP.
Zatiaľ nikto nevložil komentár - buď prvý!