具有不安全、不正确或缺少SameSite属性的Cookie

墨蓝 2023-10-06 21:54 36阅读 0赞

#### 目录 ####

*   *  1、概述
     *  2、分析
     *   *  2.1、Samesite属性是个啥？
         *  2.2、Strict
         *  2.3、Lax
         *  2.4、None
     *  3、修复

### 1、概述 ###

最近，用APPSCAN对网站进行扫描，结果报了一个“具有不安全、不正确或缺少SameSite属性的Cookie”的漏洞。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16]

### 2、分析 ###

#### 2.1、Samesite属性是个啥？ ####

为了从源头上解决CSRF（跨站请求伪造）攻击，Google起草了一份草案来改进HTTP协议，那就是为Set-Cookie响应头新增Samesite属性，它用来标明这个 Cookie是个“同站 Cookie”，同站Cookie只能作为第一方Cookie，不能作为第三方Cookie，Samesite 有两个属性值，分别是 `Strict` 、`Lax`和`None`。

#### 2.2、Strict ####

Strict最为严格，完全禁止第三方 Cookie，跨站点时，任何情况下都不会发送 Cookie。换言之，只有当前网页的 URL 与请求目标一致，才会带上 Cookie。

这个规则过于严格，可能造成非常不好的用户体验。  
![在这里插入图片描述][e9461f8029144dbba347c6128a9f98a3.png]

aaa.com设置了如下Cookie：

Set-Cookie: CookieName=123456; SameSite=Strict;

我们在bbb.com下发起对aaa.com的任意请求，CookieName这个Cookie不会被包含在Cookie请求头中。就好像淘宝网站用来识别用户登录与否的 Cookie 被设置成了 Samesite=Strict，那么用户从百度搜索页面甚至天猫页面的链接点击进入淘宝后，淘宝都不会是登录状态，因为淘宝的服务器不会接受到那个 Cookie，其它网站发起的对淘宝的任意请求都不会带上那个 Cookie。

#### 2.3、Lax ####

Lax规则稍稍放宽，大多数情况也是不发送第三方 Cookie，但是导航到目标网址的 Get 请求除外。

导航到目标网址的 GET 请求，只包括三种情况：链接，预加载请求，GET 表单。详见下表。

<table> 
 <thead> 
  <tr> 
   <th>请求类型</th> 
   <th>示例</th> 
   <th>正常情况</th> 
   <th>Lax</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>链接</td> 
   <td>&lt;a href="…"&gt;&lt;/a&gt;</td> 
   <td>发送Cookie</td> 
   <td>发送Cookie</td> 
  </tr> 
  <tr> 
   <td>预加载</td> 
   <td>&lt;link rel=“prerender” href="…"&gt;</td> 
   <td>发送Cookie</td> 
   <td>发送Cookie</td> 
  </tr> 
  <tr> 
   <td>GET表单</td> 
   <td>&lt;form method=“GET” action="…"&gt;</td> 
   <td>发送Cookie</td> 
   <td>发送Cookie</td> 
  </tr> 
  <tr> 
   <td>POST表单</td> 
   <td>&lt;form method=“POST” action="…"&gt;</td> 
   <td>发送Cookie</td> 
   <td>不发送Cookie</td> 
  </tr> 
  <tr> 
   <td>iframe</td> 
   <td>&lt;iframe src="…"&gt;&lt;/iframe&gt;</td> 
   <td>发送Cookie</td> 
   <td>不发送Cookie</td> 
  </tr> 
  <tr> 
   <td>AJAX</td> 
   <td>$.get("…")</td> 
   <td>发送Cookie</td> 
   <td>不发送Cookie</td> 
  </tr> 
  <tr> 
   <td>Image</td> 
   <td>&lt;img src="…"&gt;</td> 
   <td>发送Cookie</td> 
   <td>不发送Cookie</td> 
  </tr> 
 </tbody> 
</table>

设置了`Strict=Lax`以后，基本就杜绝了 CSRF 攻击。当然，前提是用户浏览器支持 SameSite 属性。

![在这里插入图片描述][b18e355245e24b8687da55ba0ddd7d36.png]  
aaa.com设置了如下Cookie:

Set-Cookie: CookieName=123456; SameSite=Lax;

当用户从bbb.com点击链接进入aaa.com时，CookieName这个 Cookie 会被包含在 Cookie 请求头中，也就是说用户在不同网站之间通过链接跳转是不受影响了，但假如这个请求是从 bbb.com 发起的对 aaa.com 的异步请求，或者页面跳转是通过表单的 post 提交触发的，则CookieName也不会发送。

#### 2.4、None ####

Chrome 80.0将SameSite的默认值设为Lax，。这时，网站可以选择显式关闭SameSite属性，将其设为None。不过，前提是必须同时设置Secure属性（Cookie 只能通过 HTTPS 协议发送），否则无效。

下面的设置无效:

Set-Cookie: widget_session=abc123; SameSite=None

下面的设置有效

Set-Cookie: widget_session=abc123; SameSite=None; Secure

### 3、修复 ###

`PHP设置：`

从PHP7.3开始，setcookie函数支持数组设置

setcookie($name, $value, [
        'expires' => time() + 86400,
        'path' => '/',
        'domain' => 'domain.com',
        'secure' => true,
        'httponly' => true,
        'samesite' => 'None',
    ]);

PHP7.3一下，通过hack方式实现

setcookie('sessionKey', $sessionKey, $expired, '/; secure; SameSite=none;');

`Nginx设置：`

location ^/abc/ {
        
        proxy_cookie_path / "/; secure; SameSite=None";
    }

`Sprintboot设置：` 参考：https://juejin.cn/post/6867050293595799560

[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/4b5136ffc164459db8eab643edc635bc.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[e9461f8029144dbba347c6128a9f98a3.png]: https://img-blog.csdnimg.cn/e9461f8029144dbba347c6128a9f98a3.png
[b18e355245e24b8687da55ba0ddd7d36.png]: https://img-blog.csdnimg.cn/b18e355245e24b8687da55ba0ddd7d36.png