Инъекция cookie на стороне сервера

Question

У меня есть приложение, которое представляет собой комбинацию asp / asp.net, и обе стороны зависят от одних и тех же файлов cookie (они находятся в одном домене). В файлах cookie есть некоторые значения, которые я больше не хочу отправлять клиенту из-за соображений безопасности. Я надеялся добиться того, чтобы эти значения были удалены, чтобы они больше не отправлялись клиенту, а затем при каждом запросе к серверу каким-то образом «вставляли» значения обратно в файл cookie, чтобы приложение по-прежнему функционировало правильно.

Это вообще возможно? Я думал, что это может быть через ISAPI, но я плохо знаю c ++.

Answer 1

Я думаю, что фильтр isapi - ваш единственный выбор. Если вы не хотите использовать c ++, это можно сделать в python .

Другой вариант - обновить сервер до Windows 2008. В IIS 7 можно написать фильтр isapi на языке .net.

Изменение приложений намного более разумный вариант.

Answer 2

Просто предположение, поскольку вопрос не является конкретным, но если причина, по которой вы не хотите, чтобы информация в cookie-файле состояла в том, чтобы кто-то не прочитал ее и не использовал ее для других целей, вы можете захотеть взглянуть на какую-то обратимого шифрования или другого метода запутывания, чтобы информация не читалась человеком.

Я не знаю, могут ли переменные Session или App быть прочитаны как ASP, так и ASP.NET, но вы также можете изучить использование таблицы базы данных для хранения информации и просто дать им идентификатор сеанса, который используется для поищи это. Вроде как специальная переменная Session.

Чтобы получить лучший ответ, вы можете отредактировать вопрос, чтобы он был более конкретным о том, какие "проблемы безопасности" вас беспокоят. Это могут быть не проблемы или может быть способ решить саму проблему, которая не связана со странными взломами.

Столько, сколько я хотел бы сказать «Просто поменяйте все на одно или другое», я понимаю, что это не всегда вариант. ;)

Answer 3

Используйте заголовок Set-Cookie.

"Set-Cookie:Test=test_value; expires=Sat, 01-Jan-2000 00:00:00 GMT; path=/;"

Если указать дату истечения срока годности, файл cookie будет удален с клиента.