java - 跨站脚本 - Cookie 加密

Question

我正在开发一个客户端代理来对抗跨站点脚本攻击。所有来自浏览器的请求都会经过代理。我可以使用 Referer header 和其他内容将请求分类为本地请求或跨域请求。但是，我需要减少误报的数量。

为此，我将跟踪响应中从 Web 服务器发送的 cookie，并且我将在任何跨域请求中查找该 cookie 的部分内容，即，我将仅检查携带敏感信息(cookie)。

但是，如果攻击者构建了 cookie 被加密并泄露的 HTTP 响应，那么这个简单的想法就会失败。

例如，

cookie:

user=rahim;pass=asdf

黑客构造一个请求

www.evil.com?name=mihar&pass=fdsa

攻击者只是颠倒了 cookie 参数。攻击者可以通过无数种方式来玩弄 cookie 并欺骗进程。

我需要一个算法来检查这一点。 cookie参数不允许以任何形式传递。

Answer 1

你的任务是没有希望的。没有办法知道 cookie 的真正含义是什么。