花了半个多小时的时间输入,打得手都疼了,希望能对大家有所帮助。
*/ --------------------------------------------------------------------------------------
*/ 出自: 编程中国 http://www.bc-cn.net
*/ 作者: 愿望 E-mail:wishstudio@gmail.com
*/ 时间: 2007-8-5 编程论坛首发
*/ 声明: 尊重作者劳动,转载请保留本段文字
*/ --------------------------------------------------------------------------------------
一、攻击原理
Cookies 欺骗主要利用当前网络上一些用户管理系统将用户登录信息储存在 Cookies 中这一不安全的做法进行攻击,其攻击方法相对于 SQL 注入漏洞等漏洞来说相对要“困难”一些,但还是很“傻瓜”。
我们知道,一般的基于 Cookies 的用户系统至少会在 Cookies 中储存两个变量:username 和 userlevel,其中 username 为用户名,而 userlevel 为用户的等级。当我们的浏览器访问 ASP 页面时,它会传出类似
GET /.../file.asp HTTP 1.0
...
Cookies: username=user&userlevel=1
...
的数据包,那么,我们只要知道了管理员的 username 和 userlevel 值(假设分别为 admin 和 5),便可以通过传输
GET /.../file.asp HTTP 1.0
...
Cookies: username=admin&userlevel=5
...
来获取管理员权限。很简单是不是?然而,在这个漏洞被发现之前,几乎所有的用户管理系统都依赖于 Cookies。
二、安全地储存用户信息
既然 Cookies 是不安全的,而我们又必须把用户登录信息存储下来,那么应该存储在什么地方呢?我们注意到,在 ASP 中,除了 Cookies 外,还有 Session 可以储存信息。Session 是储存在服务器上的,不是客户端随随便便就能够更改的,所以具有极高的安全性。这样,大家就可以把所有 Cookies 的代码均换作 session 了。


猜你喜欢
- 饭否网初听这个名字,让我想起一句成语:廉颇老矣,尚能饭否?私下里不由窃窃:王兴取的这个饭否网,究竟蕴藏着什么玄机,与廉颇老前辈有什么渊源吗?
- vsftpd基于系统用户访问ftp服务器,系统用户越多越不利于管理,不利于系统安全,这样就以vsftp虚拟防护的方式来解决。虚拟用户没有实际
- 本文讲解如何制作自己的tomcat镜像,并使用tomcat部署项目原料准备:tomcat、jdk安装包,dockerfile文件步骤1、准备
- 可能有些内容和网上其他人的相似,但也是我的个人验证总结过的,欢迎大家有经验验证的继续补充交流:1、首页广告切忌不能乱投,弹出类广告更是大大的
- DDoS(分布式拒绝服务)攻击是利用TCP/IP协议漏洞进行的一种简单而致命的网络攻击,由于TCP/IP协议的这种会话机制漏洞无法修改,因此
- 据新加坡《联合早报》10月15日报道,发明全球互联网的英国人伯纳斯承认,当初在网址前面加上双斜线实在有欠考虑。据报道,伯纳斯大约30年前想出
- 利用了 bash 和 lftp 的自动登录功能 lftp 支持 ftp ssh 等多种登录协议 #!/bin/bash echo "
- 图为百度联盟贴片广告管理后台界面腾讯科技讯 4月12日消息,百度网盟推广近日正式宣布开通“贴片推广”业务,首批邀请的站点名单尚未公布,外界预
- 虽然Google的Blogspot在国内无法访问,但对于独立域名的英文博客来说,使用Blogger还是不错的选择,不用使用托管主机,这里就介
- 根据不同的划分标准,网站可分成好几种类型,如将网站按照主体性质不同可分为政府网站、企业网站、商业网站、教育科研机构网站、个人网站、其它非盈利
- 10月13日是世博倒计时200天,“星耀世博——首批世博城市之星颁奖典礼&
- 当我们在使用VMware虚拟机的时候,有时候想让虚拟机直接使用物理机的硬件,这个时候就需要配置直通,本文以FC为例进行讲解1.在Vcente
- 阿里云论坛上的资源很丰富,查了下安装LAMP环境,很多基础性的东西已经内置了,比如防火墙的配置和端口的开启,统统不需要再做操作,所以安装下来
- 随着国际互连网的发展,一些企业建立了自己的INTRANET,并通过专线与INTERNET连通。为了保证企业内部网的安全,防止非法入侵,需要使
- 用例由于历史缘故,我的Ubuntu系统空间不够,我想把电脑的内置硬盘的一个ext4分区(/dev/sda12),以用户可以读写的方式,自动挂
- 随着站点规模的扩大,在线人数的上升,免费空间已经不适用了,就很有必要为自己选择一款收费空间,下面先简单介绍下国外的主机类型,大致分这么几种,
- 一、unzip命令unzip命令用于解压缩由zip命令压缩的“.zip”压缩包。1.1 语法unzip(选项)(参数)1.2 选项选项描述-
- 昨天一个站长朋友在sns.kdd.cc(最近人气最旺的站长类SNS)给我留言,让我写篇关于网址导航站的总结。正好自己有10来天没写新的原创文
- 在我所了解的情况中,有80%的系统管理员不是太关心自己服务器的安全性,但往往对备分镜像的技术相当感兴趣,但由于商业产品的软硬件价格都相当高昂
- 包过滤防火墙是用一个软件查看所流经的数据包的包头(header),由此决定整个包的命运。它可能会决定丢弃(DROP)这个包,可能会接受(AC