表單身份驗證Cookie漏洞

我有一個關於Form authentication Cookie漏洞的問題。在JavaScript中，我們可以使用document.cookie來訪問表單身份驗證cookie值（假設它不是httponly）。該值已加密。我曾在很多博客中讀到，如果有人得到這個價值，我們的安全就會被破壞。我的問題是，他（攻擊者）如何破壞它（cookie內的憑證），因爲表單身份驗證加密方法使用機器密鑰來加密該cookie，因此要解密它，將需要相同的機器密鑰？不是嗎？您能否澄清一下，由於攻擊者應該只有我的機器密鑰才能解密，因此該cookie的脆弱性如何？我在這裏嗎？表單身份驗證Cookie漏洞

來源

2012-08-06 Rocky Singh

你可能想在這裏閱讀它。但是，如果我沒有弄錯某些形式的對策是由MS發佈的。 http://visualstudiomagazine.com/articles/2010/09/14/aspnet-security-hack.aspx – JaggenSWE 2012-08-06 21:07:58

焉能（攻擊者）違反它，因爲表單認證加密

他沒有解密加密的Cookie（餅乾裏面的憑據）。他可以使用cookie的加密值併成爲你。

服務器執行加密，所以它不知道給它的cookie的瀏覽器是cookie最初發給誰的。

使用類似Modify This Cookie（或任何其他可實現該功能的擴展名）的擴展名將允許我將cookie設置爲您的加密值（如果我能夠獲得該值）。

具有諷刺意味的是，the very same question被問及StackOverflow。看看特洛伊的帖子，瞭解更多信息。

來源

2012-08-06 21:05:02 vcsjones

MAN！你是對的。我認爲他可以在他的客戶端創建一個虛擬cookie，並且可以設置值（劫持一個）並將其發送給服務器？它是否正確？ – 2012-08-06 21:06:46

@RockySingh yep。這就是爲什麼HTTPS很重要，甚至超出了初始認證步驟。 HTTPS也通過網絡加密cookie。 – vcsjones 2012-08-06 21:08:27

@RockySingh我添加了一個鏈接到一個博客，應該更深入地解釋一下。 – vcsjones 2012-08-06 21:09:21

我做了什麼，不知道它實際上有多大幫助，但我從未見過任何違規行爲（儘管有100次嘗試）是將cookie與IP地址配對，這意味着如果呼叫來自與先前呼叫相同的IP地址，我會查找它，如果不是，則會重置Cookie，您必須重新登錄。這對所有網站來說都不是完全可行的，但在我看來，增加一些安全措施而不是允許移動性更重要。

這種方法可能是MITM攻擊很好suceptible，但你永遠無法保護自己免受除非你有怪物預算有關性能和可訪問所有的可能性，並沒有任何限制。

來源

2012-08-06 21:15:33 JaggenSWE

要求用戶保持相同的IP地址會帶來拒絕合法用戶訪問的風險。通過VPN走動 *連接/斷開（ *插入或拔出網線與Wi-Fi切換到/ *更改Wi-Fi熱點或手機發射塔：用戶可以在會話中的各種原因而改變IP地址更改默認路由） *使用IP地址池的動態NAT *負載平衡或分佈式代理僅匹配IP地址的一部分可以減輕影響......但也爲相同的人留下了大門咖啡店劫持連接。 – Bruce 2017-01-26 16:09:03

那麼，IP地址驗證的應用主要部署在需要這種安全級別的解決方案中。這一切都歸結於你想要保護的東西，我想。 – JaggenSWE 2017-02-01 12:48:37

表單身份驗證Cookie漏洞

回答

相關問題