《Web安全程序设计与实践》课件项目9.pptxVIP

项目9Cookie欺骗攻击

【项目描述】本项目对Cookie欺骗攻击和防护进行实训。本项目包含三个任务，首先修改项目3的数据库，给users表添加一个字段以记录用户端的信息，然后在项目6所建立网站的基础实施两种形式的Cookie欺骗，最后实现Cookie欺骗的两种组合防护方式。通过本项目实训，可以解释和分析Cookie欺骗产生的原理及危害，能够应用特殊键值对和客户端信息一致性检测的方法防护Cookie欺骗攻击。

【知识储备】Cookie的工作原理在项目6介绍了Cookie的基本概念，以及Cookie和Session的区别和联系。Cookie的主要作用是在浏览器端保存用户访问网站的信息。Cookie可以用于保持会话，服务器端通过Cookie信息判断用户是否为登录用户，关闭浏览器则被清除。Cookie也可以通过设定了它的生命周期用于长久保存用户信息，即使关闭浏览器，只要在生命周期之内，仍然保存在用户的计算机上，下次打开浏览器再次访问这个网站时，网站可以通过对Cookie信息的验证，实现免登录功能。

Cookie欺骗的原理与Session欺骗类似，Cookie欺骗攻击也是通过把正常登录之后产生的Cookie放到一个未登录的浏览器，从而绕过登录过程，访问正常登录用户的资源，实现对服务器的欺骗。二者的区别在于，如果服务器使用了Cookie认证，则可以进行Cookie欺骗攻击。反之，如果使用