HttpClient 4.0 保持登录session 访问网页

最新推荐文章于 2021-06-09 22:10:18 发布

转载最新推荐文章于 2021-06-09 22:10:18 发布 · 173 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：https://my.oschina.net/janson2013/blog/145405

文章标签：

#web安全

本文探讨了黑客如何利用XSS攻击获取用户cookie，实现免登录访问目标网站。介绍了使用HttpClient库处理cookie的方法，包括设置CookieStore和通过Header添加cookie，以保持session并执行需登录操作。

所以在web安全里，黑客通过XSS,最终目的就是获取cookie,从免登录直接进入系统。

这次要讲的是，得到用户cookie后，免登录，用HttpClient 保持原来session访问原本一定要登录才能做的事。

HttpClient 4.x 库可以自己处理Cookie
有两咱广度可以添加cookie,
1.通过 httpclient.setCookieStore(cookieStore)
2.通过 httpGet 或者 httpPost 的addHeader(new BasicHeader("Cookie",cookie));

第一种，
HttpClient是否在下次请求中携带从服务器端请求来的Cookie，完全是由设置决定的。

httpclient.getParams.setParameter(ClientPNames.COOKIE_POLICY, CookiePolicy.BEST_MATCH) 或者 CookiePolicy.BROWSER_COMPATIBILITY
如果设置为Cookie策略为BEST_MATCH，或BROWSER_COMPATIBILITY的话，HttpClient会在请求中携带由服务器返回的Cookie。如果不设置，应该需要手动添加了CookieStore，才会保持sesson.

如果设置为Cookie策略为默认的话，没设置，则需要手动通过
httpclient.setCookieStore(cookieStore); 去设置.

注：如果用的是同一个HttpClient（上下两个请求用同一个httpclient对象。
且没去手动连接放掉client.getConnectionManager().shutdown(); ）!
都不用去设置cookie的ClientPNames.COOKIE_POLICY。httpclient都是会保留cookie的！

第二种，
通过Header去设置cookie,这种方法，就是今天要用的应用场景，
我们得到一个登录的cookie，免登录访问。
可以用浏览器登录，然后f12通过console 执行 document.cookie 得到cookie，
用这个cookie ,在访问时，设置 httpGet 或者 httpPost 的addHeader(new BasicHeader("Cookie",cookie));就可以免登录访问。

这种场景我用来用第一种方法，设置没成功，可能是因为用第一种时，没设置path,domain,expire 的原因，我猪的。

这种场景可以解决第一次登录也需要验证码的网站。没有登录就没办法发布或刷新信息。
如赶集网。

转载于:https://my.oschina.net/janson2013/blog/145405