c - 我如何监控 cookie 是否被发送到其来源域以外的域？

Question

我正在尝试编写一个程序来验证从机器发出的所有 cookie 实际上都转到了它们来自的域。这是检测基于 cookie 的恶意攻击(例如 XSS)的更大安全项目的一部分。这个项目的主要障碍实际上是检测传出的 cookie。有人能给我指出正确的方向来监控 cookie 信息的传出 HTTP 流量吗？关于该项目的其他信息:这是一个用 C 和多种脚本语言编写的 Windows 应用程序。非常感谢您的帮助。

Answer 1

您可以使用 Firefox 附加组件读取浏览器正在使用的所有 cookie，浏览器知道它有哪些 cookie 以及拥有它们的域。然后可以修改Tamper-Data要嗅探所有传出的 http 请求并查找 cookie 值，您还可以在传输之前删除请求或修改它。

这将永远阻止攻击者。攻击者在传输之前混淆/编码/加密 cookie 值是微不足道的。

HttpOnlyCookies 是解决此问题的更好(但不完整)的解决方案。如果设置了这个header元素，并且浏览器支持，那么javascript将无法访问document.cookie。但是攻击者可以使用 XmlHttpRequest 伪造针对系统的请求，从而“骑”在经过身份验证的 session 上。

您应该修补您的 XSS，防止 XSRF，为整个 session 使用 https 并启用 HttpOnlyCookies。我建议您阅读 A3:The Owasp Top 10 for 2010. 中的“失效的身份验证和 session 管理”