.net Cookies安全性实践

原创|其它|编辑:郝浩|2009-04-22 14:44:56.000|阅读 391 次

概述:首先,你要相信网络是不安全的,TCP协议也是不安全的。HTTP访问是基于TCP协议来完成的,其能够被攻击是一定的。

# 界面/图表报表/文档/IDE等千款热门软控件火热销售中 >>

首先,你要相信网络是不安全的,TCP协议也是不安全的。HTTP访问是基于TCP协议来完成的,其能够被攻击是一定的。

跨站脚本攻击一直是Web上常见的手段之一,攻击一般是劫持用户会话,拿到私有的钥匙。如何劫持这个会话呢?

一、Sniffer(这里采用的软件是Sniffer,java版的那个

Sniffer监听会话是不可护的,就和KOF里拉尔夫的宇宙幻影一样,只要打中,一定是致命的。

上图,就是一组侦听数据,当然这里侦听的是我本机的数据。实际上是可以侦听局域网,甚至广域网上的数据。

得到一组16进制的值。可以用以下代码获得其值:


string bytestr = "";
string[] byteArray = bytestr.Split(' ');
byte[] b = new byte[byteArray.Length];
for (int i = 0; i < byteArray.Length; i++) {
    b[i] 
= Convert.ToByte(byteArray[i], 16);
}
string msg = Encoding.UTF8.GetString(b);
Console.WriteLine(msg);

Console.Read();
 

bytestr 变量就放置16进制字符串就行了。另外这里使用的编码是utf-8,实际应用中应该与网站的编码匹配。这个实验是拿博客园做实验的。博客园登录状态的cookie名为“.DottextCookie”。

在firefox中,退出博客园登录,然后切换到firebug的控制台,使用命令行键入document.cookie='.DottextCookie=******;',然后刷新页面,看到了什么?现在正处于登录状态!

实际上在会话劫持中,一般都是拿登录cookie的值,无论其是否加密,都可以劫持。

二、跨域脚本攻击

要实现跨域脚本攻击,除了利用浏览器漏洞,或者ARP欺骗,一般需要有两个要素。首要的要素是,被攻击的网站,需要能自定义html代码(除了利用漏洞,一般是要支持script)。在客户端使用document.cookie就可以拿到cookie的值,然后进行分析,找出需要的键值对。就可以完成攻击。这里关于如何跨域保存信息就不讨论了。

比如有以下代码:

HttpCookie cookie = new HttpCookie("mmmm", "vvvvvvvvvvvv");
Response.Cookies.Add(cookie);

实现了cookie的写入。而在这个域下的页面中,我有权限设置某个页面中包含脚本的话,就可以实现攻击。

 <script>
  document.write(document.cookie);
 </script>

以上代码是个简单的输出,如果我把拦截到的document.cookie发送到我能保存数据的地方,那么就可以拿到很多有用的信息。这样就完成了跨域脚本攻击。

三、其它攻击方法
其他攻击方法只要能够拿到这个cookie就可以了,不管你是用flash或者其它办法。

四、可以防止的和不可防止的
刚才介绍到Sniffer方法是不可防止,那怎么防止脚本的攻击呢?可以禁止用户使用脚本,很多网站都这么做的,如果一定要使用的话,需要对cookie做特殊设置。在dotnet中,可以这样处理:

HttpCookie cookie = new HttpCookie("mmmm", "vvvvvvvvvvvv");
cookie.HttpOnly = true;
Response.Cookies.Add(cookie);

这样,在客户端就不可以访问这个键值对的cookie,从而让其他人即使能用脚本拦截会话,但是无法得到关键数据。


标签:

本站文章除注明转载外,均为本站原创或翻译。欢迎任何形式的转载,但请务必注明出处、不得修改原文相关链接,如果存在内容上的异议请邮件反馈至chenjj@evget.com

文章转载自:博客园

为你推荐

  • 推荐视频
  • 推荐活动
  • 推荐产品
  • 推荐文章
  • 慧都慧问
扫码咨询


添加微信 立即咨询

电话咨询

客服热线
023-68661681

TOP