网站运营
位置:首页>> 网站运营>> asp安全 Cookies 欺骗漏洞的防范

asp安全 Cookies 欺骗漏洞的防范

作者:愿望 来源:编程中国 发布时间:2007-11-02 12:23:00 

标签:Cookies,漏洞

花了半个多小时的时间输入,打得手都疼了,希望能对大家有所帮助。

*/ --------------------------------------------------------------------------------------
*/ 出自: 编程中国  http://www.bc-cn.net
*/ 作者: 愿望    E-mail:wishstudio@gmail.com    
*/ 时间: 2007-8-5  编程论坛首发
*/ 声明: 尊重作者劳动,转载请保留本段文字
*/ --------------------------------------------------------------------------------------

一、攻击原理

Cookies 欺骗主要利用当前网络上一些用户管理系统将用户登录信息储存在 Cookies 中这一不安全的做法进行攻击,其攻击方法相对于 SQL 注入漏洞等漏洞来说相对要“困难”一些,但还是很“傻瓜”。

我们知道,一般的基于 Cookies 的用户系统至少会在 Cookies 中储存两个变量:username 和 userlevel,其中 username 为用户名,而 userlevel 为用户的等级。当我们的浏览器访问 ASP 页面时,它会传出类似

GET /.../file.asp HTTP 1.0
...
Cookies: username=user&userlevel=1
...

的数据包,那么,我们只要知道了管理员的 username 和 userlevel 值(假设分别为 admin 和 5),便可以通过传输

GET /.../file.asp HTTP 1.0
...
Cookies: username=admin&userlevel=5
...

来获取管理员权限。很简单是不是?然而,在这个漏洞被发现之前,几乎所有的用户管理系统都依赖于 Cookies。

二、安全地储存用户信息

既然 Cookies 是不安全的,而我们又必须把用户登录信息存储下来,那么应该存储在什么地方呢?我们注意到,在 ASP 中,除了 Cookies 外,还有 Session 可以储存信息。Session 是储存在服务器上的,不是客户端随随便便就能够更改的,所以具有极高的安全性。这样,大家就可以把所有 Cookies 的代码均换作 session 了。

0
投稿

猜你喜欢

  • 有的时候IIS出现严重错误,比如metabase坏掉,又没有备份....一般的做法,直接在控制面板添加删除程序中卸载IIS重装。这样并不是保
  • 8月份曾应朋友的邀请,参与了谷歌公司的一个内部活动,跟谷歌的Adsense、搜索质量组、Adwords部门部分员工进行一个对话。对话前谷歌的
  • 我使用瑞星杀毒软件已经有一段时间,近日,打开计算机的时候发现右下角频频弹出瑞星的“声明”窗口,于是,对该事情进行了一个了解。在此,李欣荣就瑞
  • 个人网站越来越多,据说现在中国个人站长已经超过了3200万。而且由于CN域名一元促销活动的推动,越来越多的网民走向了个人站长的道理。但是,网
  • 春节还没过完就接到同事的电话,说论坛访问速度慢,遭致用户强烈的投诉,要求我马上处理。这个bbs是运行在RedhatAS5上,由apache、
  • discuz已经是大多数站长的最爱,因为他太强大了,不懂技术的站长也能用他做出很棒的网站,但是要与众不同突出自己的个性就要用到里面的DIY功
  • 据国外媒体报道,谷歌程序员已经克服了Mac Chrome测试版最大的障碍——打印支持,但Window
  • 今天喝了点酒,谈下建站2年的经验,实在是不爱打字,尽量简洁点,希望能帮助下新人朋友。我和网络接触的真正时候,大约3年前。其实也不算接触网络,
  • 你是否期待着你的博客蒸蒸日上,你是否热衷于建立一个大型的读者社区,甚至成为一个全职的职业博客作家,这些都需要博客有更大的影响力和更大的声誉,
  • 前些日子买了三个广告位结果点击率只有0.02%仔细一看怪自己那会太天真,上当了而且还不知道那几个点击是不是真实的。  &
  • 越来越多研究Goolge排名的SEO人发现,Google的排名算法现在越来越倾向于增加用户在网站上的行为模式。比如说他们在网站上停留多久?他
  • 有些朋友想要查看MySQL的IP地址,却不知道在那里查看,登录到Godaddy,在主机管理中的MySQL点击你要查询的Mysql的图标,进入
  • Google App Engine是Google提供的可扩展系统上构建网络应用程序。每个 Google App Engine 应用程序都可使
  • 每次争取到一位新客户的时候你可能总是想向他/她证明你可以做好并且你渴望再次合作。如果你对于未来是否可以与此客户再次合作不是很确定,那么你可能
  • 我在阿里妈妈上看到一个站长说李彦红根本没把阿里妈妈放在眼里,我们先不去说李彦红有没有讲过这句话,就这句话对于现在而言可以说是成立的。阿里妈妈
  • 一个网站的用户体验高低是由页面各元素的设计决定的,如表单、网页文字、功能等。网页文字是网页中所占分量最大的要素,所以其设计得好坏直接整个页面
  • 搜索推广收入=检索量*点击率*推广单价,选择好的推广位能大幅拉升您网站的检索量,从而提升您的网站收入。我们把搜索框在网站首屏页面的位置分为6
  • 对于提高自己站点的访问量,最有效的办法是,在做好站点的同时,不放过每一次的宣传机会,永远记住,即使是滴水也能装满瓶子,而当我们容易看到某些经
  • 每两年,SEOmoz搜索引擎营销团队都会向世界各地的SEO专家们做有关搜索引擎排名算法的调查。今年主要收到了来自美国、英国、加拿大、澳大利亚
  • 不知不觉写程序已经做了2年,有成功的喜悦,也有失败的痛苦,但总不敢称自己是高手,因为和我心目中真正的高手们比起来,还差的太远。世界上并没有成
手机版 网站运营 asp之家 www.aspxhome.com