了解Cookie中的SameStie属性

一、前言

　　在进行漏洞扫描时，遇到了SameStie属性缺失的低危漏洞，我对这个属性不是很了解，并且发现大多数cookie里都没有添加SameStie。于是想要了解整理一下该属性的内容。

二、SameSite是个啥

　　SameSite是Chrome51开始新增的一个属性，用于防止CSRF攻击和用户追踪（第三方恶意获取COOKIE），限制第三方COOKIE，从而减少安全风险。

三、SameStie的值

　　可以设置三个值，strict、lax、none。

　　Strict：严格，完全禁止第三方获取cookie，跨站点时，任何情况下都不会发送cookie；只有当前网页的 URL 与请求目标一致，才会带上 Cookie。

　

Set-Cookie: CookieName=CookieValue; SameSite=Strict;

 

　    Lax：防范跨站，大多数情况下禁止获取cookie，除非导航到目标网址的GET请求（链接、预加载、GET表单）；设置了Strict或Lax以后，基本就杜绝了 CSRF 攻击。当然，前提是用户浏览器支持 SameSite 属性。

       SameSite属性的默认SameSite=Lax 【该操作适用于2019年2月4号谷歌发布Chrome 80稳定版之后的版本】

 

Set-Cookie: CookieName=CookieValue; SameSite=Lax;

 

　　None：没有限制。必须同时设置Secure属性（Cookie 只能通过 HTTPS 协议发送），否则无效。 【该操作适用于2019年2月4号谷歌发布Chrome 80稳定版之后的版本】

Set-Cookie: widget_session=abc123; SameSite=None; Secure

 

四、影响

2019年2月4号谷歌发布Chrome 80稳定版后，关于cookie的SameSite属性做了以下更改：

（1）没有设置SameSite属性的默认SameSite=Lax。

（2）SameSite=None的cookie则必须设置为Secure，即安全链接（https）。

 

一些老的项目中跨域获取cookie的情况（如基于cookie的统一登录）。因为旧项目中不会设置SameSite属性，所以此次更新后，SameSite属性会默认为Lax，这就导致跨域的请求获取不到cookie数据。从而导致统一登录失败。

解决方案：

首先要将SameSite属性设置为None，其次要使用https安全链接。

 

 

 

参考：https://blog.csdn.net/qq_36690992/article/details/117965822