Может кто-нибудь взломать (через js) файл cookie asp.net и изменить дату истечения срока действия? - PullRequest
6 голосов
/ 11 мая 2009

Может ли кто-нибудь взломать (через js) файл cookie asp.net и изменить дату окончания действия?

Что может помешать им схватить его и изменить срок действия? эффективно разрешить пользователю оставаться в системе?

Обновление

.NET Framework создает аутентификацию. файлы cookie зависят от даты истечения срока действия файла cookie или содержат код?

Ответы [ 6 ]

5 голосов
/ 12 мая 2009

Есть несколько вещей, которые вы можете сделать, чтобы улучшить ситуацию.

В файле web.config установите cookie = "All" для файла cookie: http://msdn.microsoft.com/en-us/library/1d3t3c61.aspx. Это зашифрует и подтвердит, что усложнит взлом на стороне клиента.

Кроме того, для файлов cookie httpOnly может быть присвоено значение true. Это говорит браузеру, что cookie не может быть обработан в javascript.

Элемент в web.config также имеет настройку времени ожидания (см. Ссылку выше). Возможно, что реализация Microsoft достаточно умна, чтобы не зависеть исключительно от cookie, но я не знаю.

Другие комментарии верны, что клиенту никогда нельзя доверять. Таким образом, чтобы быть герметичным, вы захотите отследить «последний вход в систему» ​​на сервере и принудительно ввести новый вход через некоторое время.

2 голосов
/ 11 мая 2009

Файлы cookie хранятся клиентом, вы не можете доверять им, чтобы они не изменились.

Существуют расширения для Firefox, которые позволяют редактировать файлы cookie, включая даты истечения срока действия. Если вы хотите, чтобы они заставили их истечь, вы должны отслеживать их и на стороне сервера, и истечь их там.

1 голос
/ 12 мая 2009

С помощью JS (JavaScript) это невозможно, по крайней мере, в браузере, который поддерживает атрибут HttpOnly, который ASP.NET устанавливает для файла cookie Forms.

1 голос
/ 11 мая 2009

Отслеживайте на стороне сервера.

0 голосов
/ 11 мая 2009

Если вы хотите предотвратить это, добавьте дату окончания срока действия в значение cookie. Затем, когда вы извлекаете cookie, если дата окончания хэширования не совпадает с датой окончания действия открытого текста, удалите cookie.

0 голосов
/ 11 мая 2009

ну, я не уверен насчет javascript, но вы можете сделать это, используя Cookie Editor, дополненный Fire Fox

зашифровать его

установить дополнительный флажок даты внутри куки

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...