为经典Asp会话Cookie设置HTTPONLY

Question

有谁知道如何在经典ASP会话cookie上设置HTTPONLY？

这是在漏洞扫描中标记的最后一件事,需要尽快修复,所以任何帮助都表示赞赏.

~~~关于我的问题的更多信息~~~

有人可以帮我这个吗？

我需要知道如何在默认情况下从ASP和IIS创建的ASPSESSION cookie上设置HTTPONLY.

这是服务器为所有asp页面自动创建的cookie.

如果需要,我可以在网站上的所有cookie上设置HTTPONLY.

任何有关如何做到这一点的帮助都将受到大力赞赏.

谢谢

谢谢艾略特

Answer 1

Microsoft包含一个使用ISAPI筛选器到所有出站cookie的示例:http://msdn.microsoft.com/en-us/library/ms972826

或URL重写可以使用http://forums.iis.net/p/1168473/1946312.aspx

<rewrite>
        <outboundRules>
            <rule name="Add HttpOnly" preCondition="No HttpOnly">
                <match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
                <action type="Rewrite" value="{R:0}; HttpOnly" />
                <conditions>
                </conditions>
            </rule>
            <preConditions>
                <preCondition name="No HttpOnly">
                    <add input="{RESPONSE_Set_Cookie}" pattern="." />
                    <add input="{RESPONSE_Set_Cookie}" pattern="; HttpOnly" negate="true" />
                </preCondition>
            </preConditions>
        </outboundRules>
    </rewrite>

Answer 2

如果您有 IIS7 +，则需要确保安装了 URL 重写模块。您可以使用 Web 平台安装程序来安装它。Web 平台安装程序可以在您网站的功能视图中找到。您需要以管理员身份运行 IIS 管理器。

单击您网站的功能视图中的 Web 平台安装程序：

确保已安装 URL 重写服务器产品。如果没有，请安装它。

安装 URL 重写服务器产品后，您可以使用网站上的 URL 重写功能添加规则，为您的会话 ID cookie 添加 HttpOnly。

您应该会看到为 ASP 站点创建的 web.config 文件（如果尚不存在）。它将包含以下内容：

如果您在 Firefox 中使用 Firebug 来检查您的 cookie，您现在应该会看到 HttpOnly 标志已设置：

Answer 3

Response.AddHeader "Set-Cookie", "CookieName=CookieValue; path=/; HttpOnly" 

来源： http: //www.asp101.com/tips/index.asp? id=160