关于浏览器的cookie欺骗技术和防范

发表于 2012-10-22 12:11 | 浏览 1042

  其实关于cookie盗取/利用方面的基础知识菲菲已经给大家分享很多了(QQ的skey就是典型)。而这一节教程呢,则重点来探究一下cookie欺骗的实战操作与防范相关的技术。

  不能光说不练哇,首先呢我们肯定需要一款可以自定义修改cookie的工具,这里菲菲'博客推荐大家使用火狐浏览器的firecookie插件(在工具 - 附加组件里搜索安装即可)。然后按快捷键 F12 打开Firebug中的cookies管理插件就行了,很方便很省事的。

  然后我们登录任意网站,就以QQ空间为例吧,成功登录后就可以在浏览器的下面看到所有的QQ cookie值了。找到其中的uin和skey的值,右键菜单就可以快速一键修改编辑了。需要注意的是uin的格式为:小写字母 o + QQ号码,而skey则为:符号 @ + 9位字符串。如图:
利用火狐插件修改cookie

  既然是cookie欺骗(冒用其他QQ号码的cookie信息),那么肯定是要将uin和skey的值修改为他人的,然后刷新当前网页(这里是QQ空间),如果修改无误的话,你就会以他人QQ的登录权限来操作了,也就是说你完全获得了对方帐号的管理权限,什么看相册访空间删留言随你来!

  说完了“攻”那下面就要来谈一下“防”了。如何防范自己的QQ cookie被人盗用冒用呢?那就先看一下你的cookie是如何被坏人“窃”走的吧。常见的有QQ辅助类的后门软件、XSS攻击、社工法、人工查看法(这个有意思,就是需要你亲自出马了。。)等等。知道了这些常见的可以盗取cookie的手法,防范的方法自然就简单理解了。比如尽量不用安全不明/可疑的QQ辅助,提高QQ帐号安全的意识,不访问可疑的链接等等。前面教程已经讲到很多次,这里就不详述了。

  还有一点,一旦你的QQ被人盗用cookie权限,你从QQ安全中心是看不到登录记录的,从根上说希望腾讯可以进一步加强QQ帐号的安全验证,不要仅仅对用户登录时进行ip认证,建议将cookie密钥和用户的登录IP进行绑定,发现GET请求异常(异地IP)则验证失败,这就可以从根上解决XSS跨站和cookie欺骗导致的安全问题。【菲菲博客·原创博文,转载请注明,谢谢!】

(原创文章版权所有,如需转载请注明原文链接!)