編輯本地cookie值

Question

我正在嘗試爲我的一些Web應用程序（ASP.NET，如果這最終成問題）的cookie值注入做一些即將進行的例行測試。我試圖插入一些JavaScript和SQL特定的代碼，但有一些問題。

我有FireFox，IE 7和8以及Chrome。 FireFox的Add N Edit Cookies extension不允許我將值更改爲任何含有分號的值。 Nirsoft的IECookiesView根本不會顯示我經過的特定cookie（ASP.NET的會話ID cookie）。

是否有任何其他工具用於編輯cookie，以便我可以測試這一點？我的Google-fu似乎讓這個失敗了。

Answer 1

在您想要編輯的cookie的網站上輸入您的地址欄。請記住，document.cookie根據您當前正在查看的域而不同。 UNION ALL SELECT 從L-NAME員工 ORDER BY的au_lname

編輯： Bobince是說得對的分號，所以這裏是SQL注入沒有一個分號。

javascript：document.cookie =「SESSID ='union從用戶選擇密碼，其中id = 1 - 」;

Tamperdata是一款Firefox插件，它預先構建了可用於測試傳出請求的SQL注入和xss字符串。另一種選擇是Acunetix，它可以測試http服務器變量以及xss/sql注入的cookie參數以及更多漏洞。 Acuentix xss測試儀是免費的。 w3af和wapiti是免費且開源的，但它們不測試cookie變量。

Answer 2

也許你可以嘗試修改傳出的http請求？與modify headers擴展一樣。另外，您可以純粹從http分析的角度來看問題，並直接使用一些http測試工具而不是使用瀏覽器。我是一名Java開發人員，因此想到了JMeter和Solex。

我懷疑直接修改cookie會是一個問題，因爲這些擴展名傾向於遵從http，就像您在Add N Edit Cookies中找到的一樣。您可以嘗試直接修改cookie文件，並希望Firefox能夠接受它，但聽起來有點片面。

Answer 3

;不能存在於cookie值中。無法將其設置爲Set-Cookie標題或document.cookie作業，因爲它將作爲分隔符，並且沒有標準轉義方案將帶外字符放入cookie中。

您需要一個自定義客戶端或附件才能發送Cookie:請求標頭，包括分號;一個標準的瀏覽器不會這樣做。