使用cookie

http://www.cnblogs.com/qiantuwuliang/archive/2009/03/09/1406727.html

小结:cookie并不安全,但经过仔细地配置,可以帮助保护cookie

威胁:会话劫持、账户劫持、会话固定、信息泄漏

HTTP cookie是一种用于存储用户状态,以创建和Web服务器无缝连接的效果的机制。Cookie设计用于处理用户的优先选择并跟踪会话变量,并且它们可以很好地做到这一点。但是,对于安全性,却会引发一些问题。大多数相关规范取决于服务器、客户浏览器,以及两者之间遵循相关规则的代理。遗憾的是,情况并不总是如此。此外,甚至不要求用户代理接受cookie,虽然不接受cookie将导致一些Web站点不会授权用户访问该站点。

一般情况下,为了使ASP.NET保存cookie,可以使用Response.Cookies集合。然而,ASP.NET自动编写了一些cookie,不需要程序为这些cookie编写任何代码。如果启用会话状态,ASP.NET将为连接到服务器的每个用户创建一个带有独特标记的会话cookie。如果使用带有cookie的表单验证,ASP.NET也会将一个表单验证标记添加到这个cookie。

为了访问这些cookie,可以使用Response.Cookies集合。对于表单验证cookie,FormsAuthenticationTicket对象提供对cookie属性的访问,以及对与表单验证相关的其他属性的访问。

Cookie总是更容易受到攻击,但一些设置可限制这种易受攻击性。具有重要安全意义的属性如下:

n Domain(域)

n Path(路径)

n Expires(过期时间)

n Secure(安全)

n Value(值)

Cookie域

Cookie的可选域属性确定哪一个服务器可访问cookie中的信息。如果将该属性保留为空,则假定浏览器只允许发布该cookie的主机进行访问。然而,有时仍然可能希望指定这个值。

Cookie域允许对所有匹配域名(包括所有子域)的主机进行访问。换句话说,它自右向左匹配。因此,设置为example.com的cookie域将匹配*.example.com。域名必须最少包含两个点,防止服务器将域名设置为.com样式。尽可能尝试在域上使用特定的名称。例如,如果主机名为ro.cker.org,并且将cookie域设置为.cker.org,则主机cra.cker.org,atta.cker.org和just.about.any.script.kiddie.ha.cker.org都可以访问该cookie。这一点非常重要,因为攻击者可能发现并利用这些系统上的缺陷,获得对目标系统中cookie的访问。图3-2和图3-3演示了如何在所有cookie上设置域。

图3-2  在所有cookie上设置域(C#)

图3-3  在所有cookie上设置域(VB.NET)

除了提供特定的主机名外,可能也希望检查接收的cookie域。例如,假设主机ro.cker.org将域属性设置为ro.cker.org。然而,主机ha.cker.org将域属性设置为.cker.org。现在,假如用户浏览到ha.cker.org,并且服务器使用如下的头发送一个会话cookie:

现在,用户浏览到ro.cker.org,并且浏览器看到主机ro.cker.org也匹配域.cker.org。因此,它回送从ha.cker.org接收到的cookie:

ro.cker.org服务器并没有检查域,只是简单地接受cookie。这种类型的缺陷可能会将服务器暴露给许多攻击,包括会话固定、账户跳跃和标记操纵。为了防止这种类型的攻击,总是检查cookie的域,如图3-2(C#)和图3-3(VB.NET)所示。注意,在所有cookie上设置域之前(如图3-2和图3-3所示),应该总是运行图3-4(C#)和图3-5(VB.NET)中的验证代码。

Cookie路径

类似于域,Cookie也有一个路径属性来限制它们的作用域。通过域检查后,服务器将检查cookie路径。路径自左向右匹配,并且匹配任意路径和该路径下的路径。因此,如果将路径设置为“/”(斜杠),则cookie将应用于服务器上的所有路径。路径“/shopping”将cookie限制为shopping目录及其所有子目录中的所有项。

图3-4  验证cookie域(C#)

图3-5  验证cookie域(VB.NET)

尽可能设置特定的路径将很有帮助,因为浏览器将cookie发送到所有匹配该路径的URL。通过保持较小的作用域,可以防止浏览器在不适当的时候发送cookie,例如浏览非SSL的页面时。如果攻击者发现应用程序某一部分中的缺陷,它也可以限制将这些缺陷暴露给跨站点脚本的攻击。例如,假设有一个只有www.example.com/ protected/中成员才可使用的Web应用程序。但是,也提供了一个演示应用程序,任何人在www.example.com/demo/都可以登录。现在,假设一些人仔细研究了这个演示应用程序,并且发现一些跨站点脚本的缺陷。通过这个缺陷,他们可以使用演示应用程序来窃取所有成员的验证cookie。在这种情况中,为受保护的目录和演示目录设置特定的cookie路径可以限制暴露给相关攻击的风险。使得攻击者需要访问受保护的目录,以利用缺陷攻击实际的成员,而每个人都可以访问演示目录。虽然这绝对不是用于跨站点脚本的解决方案,但它确实限制了暴露给攻击者的风险。

安全策略通常具有不同级别的有效性。一些技术绝对有效;而其他技术则通过限制作用域减缓攻击。然而,有些技术只用于使事情模糊,以此来减缓攻击,使一些容易半途而废的电脑黑客知难而退。用于缓和攻击和模糊事情的技术并没有提供稳固的保护方法,但对于减少暴露给攻击的风险,的确具有一定的效果,特别是在结合使用多种技术时。

总是设置特定的cookie路径,并且总是检查客户发送给应用程序的cookie上的路径。对于表单验证,为web.config文件中的表单元素设置路径属性。

Cookie过期

在ASP.NET中,Cookie的过期有时容易产生混淆。但是,保持尽可能短的cookie生命周期非常重要,这样可以限制暴露给cookie劫持攻击的风险。Cookie有一个Expires属性,通过该属性可设置浏览器保持cookie多长时间的限制。如果过期时间保留为空,则假定客户浏览器在关闭时删除cookie,不将cookie保存到磁盘。虽然过期日期可以告诉浏览器什么时候应该停止使用cookie,但却无法保证浏览器移除过期的cookie。因此,即使这不是一个可靠的安全措施,还是应该利用该特性。

当ASP.NET发布一个会话ID cookie时,它并没有设置一个过期日期,因此浏览器应该在其关闭时删除cookie。根据web.config文件中SessionState元素的会话超时设置,ASP.NET自己处理会话标记的过期和重新发布。设置如下所示:

ASP.NET也处理表单验证票。表单验证标记的cookie不会有过期日期,除非Web应用程序将cookie设置为永久性。FormsAuthentication.RedirectFormLoginPage方法有一个参数来表明是否希望使用永久性cookie,如下所示:

注意,FormsAuthenticationTicket类也有一个可以设置的IsPersistent属性。一些Web应用程序给用户提供 “Remember Me”特性,让他们不需要在每次访问时都输入证书。这是不安全的安全性做法,在存储个人用户信息或允许用户执行重要财务、个人或通信动作的Web站点上,绝对不应该提供该功能。

FormsAuthenticationTicket有一个Expiration属性,该属性表明验证标记何时过期,但并没有设置cookie的过期日期。发送给浏览器的cookie并没有过期日期,除非将其标记为持久性的。一旦ASP.NET检测到旧验证标记,它将取消该标记并发布一个新标记。

表单验证提供了两种控制它如何处理标记过期的设置:timeout和sliding Expiration。timeout指定cookie过期之前的分钟数。slidingExpiration设置为true时在每次浏览器请求时都更新cookie的过期日期,只要指定的时间已经过去了至少一半。换句话说,如果将超时设置为20分钟,并且将slidingExpiration设置为true,则用户可从上一次页面请求开始,经过20分钟后再验证。如果将slidingExpiration设置为false,则需要用户在第一次请求后20分钟内重新验证。

超时设置对于持久性的cookie没有效果。如果将验证票设置为持久性,ASP.NET将给cookie设置一个过期时间,这个时间是从服务器发布该cookie开始向后50年。不在表单验证中使用持久性cookie还有更多的原因。

虽然能够选择相对或绝对超时时间这一点非常好,但同时拥有两者将会更理想。通过这种方法,可以在一定量的空闲时间后超时,也可以在固定的分钟数后超时。在没有绝对超时时间的情况下,如果用户保持浏览器打开一个自动刷新的页面,则该会话永远不会结束。通过将标记保持为激活状态,攻击者可利用这种缺陷进行会话固定攻击。

安全的cookie

服务器可将cookie标记为安全的,以向客户表明应该采取措施保护该cookie。虽然RFC并没有指定浏览器应该采取何种措施,但一般意味着只在加密的SSL会话上发送cookie。不过,将cookie标记为安全的,这只是从服务器角度考虑的建议,客户浏览器并不一定要严格遵守该设置。理论上,客户端应该提供和发布cookie时所假设的相同的安全性级别。大多数常见Web浏览器并没有严格采用这种设置。

如果使用SSL保护Web站点,也应该将cookie标记为安全的,从而客户不会将它们发送到Web站点上的非SSL页面。

应该将表单验证配置为总是使用带有web.config文件requireSSL设置的安全cookie,具体如下:

注意,如果将表单验证cookie标记为true,则必须为Web应用程序的整个受保护区域提供一个SSL连接。如果用户访问非SSL页面,浏览器不会发送cookie,并且用户必须再次验证以创建一个新的FormsAuthenticationTicket,从而创建一个新cookie。如果需要表单验证cookie的安全性,则必须确保整个受保护的区域都支持SSL。同样,也可能不希望将会话cookie标记为安全,除非整个Web应用程序都支持SSL。

Cookie值

Cookie最常见的用法是存储用户变量,例如购物车中的数据项或用户的优先选择。然而,一些开发者使用cookie来存储敏感信息,例如用户名、密码、甚至是信用卡的细节信息。绝对不应该在cookie中存储敏感信息,并且总是加密适合于存储的其他信息。

安全策略

n 总是设置一个特定的域属性,并且在读取cookie时检查这个域属性。

n 总是设置一个特定的cookie路径,并且检查cookie上客户发送应用程序的路径。

n 在会话cookie上使用较短的超时时间,以限制暴露给会话劫持攻击的风险。

n 如果使用SSL,则将cookie标记为安全。

n 绝对不要存储验证证书或信用卡号等敏感信息,并且总是加密所有存储的信息。


评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值