Cookie与session

HTTP天然是无状态的协议, 为了维持和跟踪用户的状态, 引入了Cookie和Session.

Cookie包含了浏览器客户端的用户凭证, 相对较小.
Session则维护在服务器, 用于维护相对较大的用户信息.

用通俗的语言, Cookie是钥匙, Session是锁芯.

Cookie简单理解就是钥匙, 每次去服务端获取资源, 需要带着这把钥匙, 只有自己的锁芯(资源), 才能打开.。但是如果钥匙被别人拿了, 那别人就可以冒充你的身份, 去打开你的锁芯, 从而获取你的信息, 甚至挪用你的资金. 这是非常危险的.

XSS与CSRF

XSS（Cross SiteScripting，跨站脚本攻击）
是注入攻击的一种，特点是不对服务器端造成任何伤害，而是通过一些正常的站内交互途径
CSRF（Cross-site request forgery，跨站请求伪造），
是通过伪造请求，冒充用户在站内进行操作

Cookie防劫持预防

基于XSS攻击, 窃取Cookie信息, 并冒充他人身份。

1）方法一：

给Cookie添加HttpOnly属性, 这种属性设置后, 只能在http请求中传递, 在脚本中, document.cookie无法获取到该Cookie值. 对XSS的攻击, 有一定的防御值. 但是对网络拦截, 还是泄露了.

2）方法二：

在cookie中添加校验信息, 这个校验信息和当前用户外置环境有些关系,比如ip,user agent等有关. 这样当cookie被人劫持了, 并冒用, 但是在服务器端校验的时候, 发现校验值发生了变化, 因此要求重新登录, 这样也是种很好的思路, 去规避cookie劫持.

3）方法三：

cookie中session id的定时更换, 让session id按一定频率变换, 同时对用户而言, 该操作是透明的, 这样保证了服务体验的一致性.

4）方法四：

第一点说了请求令牌理论上是可破解的，所以非常重要的场合，应该考虑使用验证码（令牌的一种升级，目前来看破解难度极大），或者要求用户再次输入密码（亚马逊、淘宝的做法）。但这两种方式用户体验都不好，所以需要产品开发者权衡。

Cookie--防劫持的处理相关推荐

php cookie防伪造,技术分享：Cookie 防伪造防修改
原标题:技术分享:Cookie 防伪造防修改主要防止非法用户修改cookie信息,以及cookie的超时时间传统cookie存储,Cookie(name, value),value很容易就被篡改 ...
网站域名服务器加密,网站域名利用https防劫持方法
原标题:网站域名利用https防劫持方法公共 DNS.HttpDNS 的部署成本过高,并且具有一定的技术门槛,在面对无孔不入的 DNS 劫持时有时候其实有点力不从心. 那么如何简单有效低成本的加强域 ...
网站app被劫持怎么办?HTTPDNS阿里云域名防劫持, DNSPod 移动解析服务 D+
网站app被劫持怎么办?HTTPDNS阿里云域名防劫持, DNSPod 移动解析服务 D+ HTTPDNS_移动开发_域名解析_域名防劫持-阿里云 https://www.aliyun.com/pro ...
网站app被劫持怎么办?dns被劫持，域名被劫持，HTTPDNS阿里云域名防劫持, DNSPod移动解析防劫持服务D+...
网站app被劫持怎么办?dns被劫持,域名被劫持 HTTPDNS阿里云域名防劫持, DNSPod移动解析防劫持服务D+ 垄断,就是鸡国的毒瘤. 域名被中移动劫持了,mlgb!! 关于互联网流量劫持分析 ...
全球免费公共【 DNS 】解析服务器 IP 地址列表推荐【解决无法上网+加速+防劫持】
全球免费公共 DNS 解析服务器 IP 地址列表推荐 (解决无法上网/加速/防劫持) 基本上接触过网络相关知识的人应该多少都会听过 DNS 这个名词.因为DNS 它非常重要,在我们上网的过程中扮 ...
APP界面防劫持，处于后台时弹窗提示
当程序处于后台时弹窗提醒,防止其他APP界面劫持 1. 实现对APP所有Activity生命周期的监控顶层activity中onStope方法被执行,则认为程序处于后台.由于Activity被销毁或 ...
一文看懂设备指纹如何防篡改、防劫持
一定程度上,设备指纹之于人的重要意义不亚于身分证. 为什么这么说? 大多数人可能都有过这样的经历: 刷短视频时,只要我们点赞了某个视频,那么下一次再刷视频时,系统就会推荐更多类似的视频:当你在某个购物 ...
Cookie防伪造防修改
主要防止非法用户修改cookie信息,以及cookie的超时时间传统cookie存储,Cookie(name, value),value很容易就被篡改. 防修改cookie存储,Cookie(nam ...
Kali Linux 实现Cookie会话劫持
一.环境搭建 Tips: 使用Kali Linux,下列工具中只需要下载ferret即可,其它工具均默认安装 1.下载arpspoof apt install dsniff 2.下载ferret 软件 ...
全球免费公共 DNS 解析服务器 IP 地址列表推荐 (解决无法上网/加速/防劫持)
全球免费公共 DNS 解析服务器 IP 地址列表推荐基本上接触过网络相关知识的人应该多少都会听过 DNS 这个名词.因为 DNS 它非常重要,在我们上网的过程中扮演着重要的角色--"将网址 ...

Cookie--防劫持的处理

Cookie与session

XSS与CSRF

Cookie防劫持预防

1）方法一：

2）方法二：

3）方法三：

4）方法四：

Cookie--防劫持的处理相关推荐

最新文章

热门文章

Cookie--防劫持的处理

Cookie与session

XSS与CSRF

Cookie防劫持预防

1） 方法一：

2）方法二：

3）方法三：

4）方法四：

Cookie--防劫持的处理相关推荐

最新文章

热门文章

1）方法一：