有些黑客可以從用戶那里竊取cookie并在網(wǎng)站上使用該名稱登錄嗎？讀這個問題不同的用戶在aspxanonymous中獲得相同的cookie值并且我開始思考，如果某個人可以通過某種方式真正竊取cookie，然后將其放在他的瀏覽器上，登錄就可以說是管理員了。您是否知道表單身份驗證如何確保即使cookie被存儲，黑客也不會使用它進(jìn)行實際登錄？或者你知道其他任何自動防御機(jī)制嗎？先謝謝你。
3 回答
慕村225694
TA貢獻(xiàn)1880條經(jīng)驗 獲得超4個贊
可以在公共無線環(huán)境中發(fā)生cookie被盜的情況。雖然您或我永遠(yuǎn)不會在這樣的設(shè)置中運行，但可能無法阻止您的客戶這樣做。
如果攻擊者知道您所連接的安全站點，那么您的瀏覽器可能會被欺騙發(fā)布到同一URL的非安全版本。那時你的cookie被泄露了。
這就是為什么除了httpOnlyCookies你想要指定requireSSL="true"
<httpCookies httpOnlyCookies="true" requireSSL="true" />
我不同意The Rook的評論，因為我認(rèn)為這是不公平的;
@Aristos我更新了我的答案。但說實話，如果您使用的是Microsoft開發(fā)平臺，那么您的應(yīng)用程序本質(zhì)上就是不安全的。 - 22分鐘前的車
安全不是偶然發(fā)生的，它不會“開箱即用”，至少不是我的經(jīng)驗。沒有什么是安全的，除非它被設(shè)計成這樣，無論平臺或工具如何。
- 3 回答
- 0 關(guān)注
- 2364 瀏覽
添加回答
舉報
0/150
提交
取消