有些黑客可以從用戶(hù)那里竊取cookie并在網(wǎng)站上使用該名稱(chēng)登錄嗎？讀這個(gè)問(wèn)題不同的用戶(hù)在aspxanonymous中獲得相同的cookie值并且我開(kāi)始思考，如果某個(gè)人可以通過(guò)某種方式真正竊取cookie，然后將其放在他的瀏覽器上，登錄就可以說(shuō)是管理員了。您是否知道表單身份驗(yàn)證如何確保即使cookie被存儲(chǔ)，黑客也不會(huì)使用它進(jìn)行實(shí)際登錄？或者你知道其他任何自動(dòng)防御機(jī)制嗎？先謝謝你。
3 回答
慕村225694
TA貢獻(xiàn)1880條經(jīng)驗(yàn) 獲得超4個(gè)贊
可以在公共無(wú)線(xiàn)環(huán)境中發(fā)生cookie被盜的情況。雖然您或我永遠(yuǎn)不會(huì)在這樣的設(shè)置中運(yùn)行，但可能無(wú)法阻止您的客戶(hù)這樣做。
如果攻擊者知道您所連接的安全站點(diǎn)，那么您的瀏覽器可能會(huì)被欺騙發(fā)布到同一URL的非安全版本。那時(shí)你的cookie被泄露了。
這就是為什么除了httpOnlyCookies你想要指定requireSSL="true"
<httpCookies httpOnlyCookies="true" requireSSL="true" />
我不同意The Rook的評(píng)論，因?yàn)槲艺J(rèn)為這是不公平的;
@Aristos我更新了我的答案。但說(shuō)實(shí)話(huà)，如果您使用的是Microsoft開(kāi)發(fā)平臺(tái)，那么您的應(yīng)用程序本質(zhì)上就是不安全的。 - 22分鐘前的車(chē)
安全不是偶然發(fā)生的，它不會(huì)“開(kāi)箱即用”，至少不是我的經(jīng)驗(yàn)。沒(méi)有什么是安全的，除非它被設(shè)計(jì)成這樣，無(wú)論平臺(tái)或工具如何。
- 3 回答
- 0 關(guān)注
- 2356 瀏覽
添加回答
舉報(bào)
0/150
提交
取消