2009-01-14 8 views
11

हमारे पास एक ऐसा एप्लिकेशन है जो अन्य चीजों के साथ, कुकी के अस्तित्व की जांच करता है और कुकी की सामग्री को पढ़ता है और डिक्रिप्ट करता है। हालांकि कुकी के अंदर संग्रहीत डेटा संवेदनशील नहीं है, लेकिन इसे ट्रिपलडेस एन्क्रिप्शन के माध्यम से एन्क्रिप्ट किया गया है। आज एक सवाल उठाया गया था कि एक पीसी पर सहेजी गई कुकी को किसी अन्य पीसी पर कॉपी किया जा सकता है और क्या वेब एप्लिकेशन इस कॉपी की गई कुकी की उपस्थिति को किसी अन्य मशीन पर पहचान लेगा, और आखिरकार मूल पीसी पर क्या होगा।किसी उपयोगकर्ता का प्रतिरूपण करने के लिए मशीनों के बीच कुकीज़ की प्रतिलिपि बनाई जा सकती है?

मेरा प्रश्न यह है: हम कुकीज़ को बचाने के लिए मानक एएसपी.NET कार्यान्वयन का उपयोग करते हैं (यानी एचटीपीआरएसपीपीएस के माध्यम से), index.dat फ़ाइल एक मशीन से दूसरी मशीन में एक कुकी के प्रत्यारोपण को रोकती है? क्या होगा यदि index.dat फ़ाइल को भी ट्रांसपोर्ट किया गया था और कॉपी किया गया था, या index.dat के अंदर कुछ आंतरिक संरचना है जो कुकी को किसी विशिष्ट मशीन से जोड़ती है?

उत्तर

15

बिल्कुल। यह वह जगह है एक ही रास्ता है कि cross-site scripting (XSS) attacks काम:

  1. मैं एक पेज
  2. मैं इंतज़ार में जावास्क्रिप्ट इंजेक्षन किसी पेज
  3. को देखने के लिए के लिए जावास्क्रिप्ट मैं इंजेक्शन मुझे भेजता अपने कुकीज़
  4. मैं तुम्हें के रूप में प्रवेश और बुरी चीजें

निजी बीटा के दौरान यह विशेष समस्या bit SO करें।

4

हां, उपयोगकर्ता को एक सत्र चुरा लेने के लिए कुकीज़ चोरी करना एक आम तकनीक है।

कुछ साइटें क्लाइंट के आईपी में एक कुकी को बांधने का प्रयास करती हैं, लेकिन यह कई कॉरपोरेट प्रॉक्सी के सामने कई बाहरी बाध्य इंटरफेस या अन्य पागल सेटअप के साथ विफल हो जाती है।

-1

अन्य उत्तरों के अलावा। किसी वेब ऐप के उपयोगकर्ता से आने वाली किसी भी चीज़ पर भरोसा न करें, भले ही यह एन्क्रिप्ट किया गया हो।

यह क्लाइंट और सर्वर दोनों पर मान्य इनपुट के विचार में संबंध रखता है। विश्वास न करें कि ग्राहक पर सत्यापन किया गया था।

1

भले ही सब कुछ ठीक है, अगर कोई उपयोगकर्ता की मशीन पर भौतिक पहुंच प्राप्त कर सकता है, तो वे कुकीज को दूसरी मशीन पर कॉपी कर सकते हैं।

E.g यदि आवश्यक हो तो डिस्क को क्लोन करें!

संबंधित मुद्दे