安全测试之会话管理的恶意利用与预防

一、Cookie的应用

1.Cookie文件的定义及其功能

Cookie文件是指在浏览某个网站时，由web服务器的CGI脚本创建的存储在浏览器客户端计算机上的一个小文本 文件。

Cookie记录了用户的有关信息，如身份识别号码ID、密码、浏览过的网页、停留的时间、用户在web站点购物的方式或者用户访问该站点的次数等，当用户再次链接web服务器时，浏览器读取Cookie信息并传递给web站点。 Cookie的主要功能是实现用户个人信息的记录，他最根本的用途是帮助web站点保存有关访问者的信息。更概括的说，Cookie是一种保持web应用程序持续性（及执行状态管理）的方法。

Http协议是一种无状态、无连接的协议，不能再服务器上保持一次回话的连续状态信息。所以就提出了Http的状态管理机制--cookie机制，他是对http协议的一种补充，以保持服务器和客户端的连续状态。

2.Cookie的应用

（1）实现web中的用户认证

大多数站点在进行用户身份认证时都采用cookie机制，使用户在通过第一次身份认证以后，无需再多次输入其用户账号、口令密码等，省去用户登录的繁琐。

（2）定制个性化空间

Cookie技术方便web站点为不同用户定制信息，给用户提供个性化、更友好的浏览环境，并能更加准确的收集访问者的信息。

（3）网站访问统计

（4）维护在线电子商务客户信息