Cookie和Session的区别，以及常见web安全攻击手段的理解

不举长篇大论

1.cookie 本质上是存储在客户端本地硬盘的信息，有持久性和临时性两种，浏览器会根据domain【域名】来向服务器发送对应的cookie

2.session 本质上是一个临时cookie，保存的信息是sessionId，服务器内存会保存有该ID记录的session对象信息

 

常见Web安全攻击手段

一. Cookie欺骗

1.利用抓包截获 cookie信息
2.利用 Cookies插件 , 人为在domain下面添加cookie信息
3.达到信息认证的效果

二. XSS跨站脚本攻击

核心方式：HTML注入

场景： 比如应用程序做了一个留言板 , 要展示用户的留言 
此时恶意用户在留言板提交 <script>alert(document.cookie)</script>
该代码被提交到数据库 , 加载留言板时改代码会做为  HTML被注入到页面  
此时所有用户的cookie信息都会在Javascrip脚本语言中被盗取

修复方式：不相信用户提交的数据
过滤掉  <  改为&lt   > 改为&gt javascript  script等
服务器这边  重要的cookie设置为 httpOnly

三. CSRF 跨站点请求伪造

核心方式 ： 让用户点击进入攻击者制造的第三方页面请求正规站点的接口

修复方式 ：很简单  , 攻击者并没有窃取用户的信息 , 而是在用户不知情的情况下, 使用用户的权限访问正规站点
同源策略  ：  浏览器不允许跨站发送权限信息（cookie）即可 , 这样在第三方站点访问正规站点不会发送cookie , 就不会通过正规网站的权限认证