【漏洞】
Apache HTTP Server "httpOnly" Cookie信息泄露漏洞
【原因】
服务器问题
Apache HTTP Server在对状态代码400的默认错误响应的实现上存在Cookie信息泄露漏洞，成功利用后可允许攻击者获取敏感信息。
【解决】
升级到 Apache Httpd 2.2.22 或更高版本。
update the apache server，it has been fixed
=======================================================================================================================
将cookie设置成HttpOnly是为了防止XSS攻击，窃取cookie内容，这样就增加了cookie的安全性，即便是这样，也不要将重要信息存入cookie。
如何在Java中设置cookie是HttpOnly呢看
1、Servlet 2.5 API 不支持 cookie设置HttpOnly。建议升级Tomcat7.0，它已经实现了Servlet3.0。但是苦逼的是现实是，老板是不会让你升级的。
2、那就介绍另外一种办法：
利用HttpResponse的addHeader方法，设置Set-Cookie的值
cookie字符串的格式：key=value; Expires=date; Path=path; Domain=domain; Secure; HttpOnly
//设置cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; HttpOnly");
//设置多个cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; HttpOnly");
response.addHeader("Set-Cookie", "timeout=30; Path=/test; HttpOnly");
//设置https的cookie
response.addHeader("Set-Cookie", "uid=112; Path=/; Secure; HttpOnly");
在实际使用中，我们可以使FireCookie查看我们设置的Cookie 是否是HttpOnly
=======================================================================================================================
转播
