彻底解决cookie欺骗（有问题）

不要在公共场登陆 自己重要的用户名和密码； 不用的时候，【关闭浏览器】，只点【退出】，还是会有安全隐患。--没有绝对的安全

由于http的无状态性，总不能每次访问页面都要输入用户名和密码，所以为了保持状态，cookie就用到了。session本质也是生成唯一标示 sessionid存到cookie里面来进行用户状态保持，辨别。

那么，cookie是存在客户端的，如果被别有用心的人，【查看元素】，跨站攻击，流氓木马病毒等获取到 这个标示的cookie，则就可以使用这个cookie通过后台的校验，看到真实用户的信息。  {例如 下方 用来攻击的页面}

解决方案

cookie加密， 加密虽然看不懂cookie，但根本就不需要知道cookie是什么含义，请求的时候把【截取】到的cookie放入请求，则就可以绕过后台的判断，获取真实用户的信息，所以单纯加密无用。

cookie+ip等信息加密，可以抵挡大多数的恶意攻击，   因为  虽然获取到了 cookiie ，但是  恶意者的ip不和真实用户的相同，则可以校验出来，防止欺骗

但，网上查看好像ip也是可以被冒充的。还是有很大的安全隐患

最终的解决方案：

cookie + ip + 动态

请求正确一次，就清空一次，再重新赋值一个  唯一标示，那么   就算别人  窃取到了 cookie，只有在【用户  此次被获取cookie的请求，与下次请求  之前的时间     那个cookie才会起到欺骗效果。配合 ip等客户端的标示，应该可以  避免 cookie欺骗】

Perfect

cookie欺骗

用来攻击的页面

   <input type="text" name="name" value=""  placeholder='cookie名称' id='cn'/>

    <input type="text" name="name" value=""  placeholder='cookie值'  id='cv'/>

    <input type="button" name="name" value="cookie欺骗登陆" onclick='login()' />

<script>

 

    function login() {

        document.cookie = document.getElementById("cn").value + "=" + document.getElementById("cv").value;

        alert(document.cookie);

        window.location.href = "http://myjs.com/trick/index.aspx";//要攻击cookie欺骗登陆的网站

    }

//这里模拟只有一个cookie

</script>

登陆页面前台

    <form action="normal.aspx" method="post" runat='server'>

 

    <input type="text" name="name" value="" placeholder='请输入用户名 abc ' />

    <input type="password" name="pwd" value="" placeholder='请输入密码 123' />

    <input type="submit"  value="登陆"  />

 

    </form>

登陆页面后台

public partial class trick_normal : System.Web.UI.Page

{

    protected void Page_Load(object sender, EventArgs e)

    {

        if (IsPostBack)

        {

            SetLogin();

        }

 

    }

 

 

    private void SetLogin()

    {

        string name = Request["name"];

        string pwd = Request["pwd"];

 

        if (name == "abc" && pwd == "123")//如果用户密码都正确

        {

            SafeTest.CheckLogin c = new CheckLogin();

 

            string userinfo = "name=abc|pwd=123";//模拟需要保存的用户信息

            c.SetSessionId(userinfo);

 

            Response.Redirect("index.aspx");

        }

        else

        {

            //登陆失败的各种处理，这里简单response

            Response.Write("登陆失败！");

            Response.End();

        }

 

 

 

 

    }

}

登陆后可访问的页面前端

  <div>

    登录可见

    </div>

登陆后可访问的页面后端

public partial class trick_index : System.Web.UI.Page

{

    protected void Page_Load(object sender, EventArgs e)

    {

        CheckLogin c = new CheckLogin();

        c.Check();

 

        //展示页面

 

 

    }

}

登陆信息设置的类

namespace SafeTest

{

 

 

    public class CheckLogin

    {

        //验证是否登陆

        public void Check()

        {

            System.Web.HttpCookie cacheKEy = System.Web.HttpContext.Current.Request.Cookies["sessionId"];

            if (cacheKEy != null)

            {

                if (System.Web.HttpContext.Current.Cache[cacheKEy.Value] != null)

                {

//【这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里这里】

                    //使用登录信息

                    object userinfo = System.Web.HttpContext.Current.Cache[cacheKEy.Value];

                    SetSessionId(userinfo);

                    System.Web.HttpContext.Current.Cache.Remove(cacheKEy.Value);

 

                }

                else

                {

                    System.Web.HttpContext.Current.Response.Redirect("normal.aspx");

                }

            }

            else

            {

                System.Web.HttpContext.Current.Response.Redirect("normal.aspx");

            }

        }

 

 

 

 

        public  void SetSessionId(object obj)

        {        //设置 session ，  这里通过  cookie+guid+cache来保持会话标示 

 

            string guid = Guid.NewGuid().ToString();

         

            HttpCookie hc = new HttpCookie("sessionId", guid);

            System.Web.Caching.Cache ch = new System.Web.Caching.Cache();

 

            //Cache.Insert("key1", myFrequentlyAccessedData, null, System.Web.Caching.Cache.NoAbsoluteExpiration, TimeSpan.FromSeconds(30)); 滑动过期时间

 

            //System.Web.HttpContext.Current.Cache.Insert(guid,obj,null,TimeSpan.Zero,DateTime.Now.AddMinutes(20)); 绝对过期时间

 

            System.Web.HttpContext.Current.Cache.Insert(guid, obj, null, System.Web.Caching.Cache.NoAbsoluteExpiration,TimeSpan.FromMinutes(20));

 

        

 

 

            System.Web.HttpContext.Current.Response.Cookies.Add(hc);

        }

 

 

    }

}