0
比方说,我设置一个特定的域的cookie在浏览器中,像这样:特定于域的cookie是否容易受到CSRF的影响?
document.cookie="foo=bar;domain=.baz.com"
是这个cookie容易受到CSRF?我一直无法找到这个问题的明确答案。我们目前有一个使用智威汤逊建立的认证系统,我试图找出如何跨域扩展这些会话。
比方说,我设置一个特定的域的cookie在浏览器中,像这样:特定于域的cookie是否容易受到CSRF的影响?
document.cookie="foo=bar;domain=.baz.com"
是这个cookie容易受到CSRF?我一直无法找到这个问题的明确答案。我们目前有一个使用智威汤逊建立的认证系统,我试图找出如何跨域扩展这些会话。
是的。
CSRF攻击导致受害者在他们已经通过身份验证的站点上执行意外操作。它通过欺骗用户提交表单(或类似的行为)来工作。提交的来源可以托管在任何域上,但目标是他们登录到的站点。由于该Cookie是由原始网站设置的,因此它将与意外操作一起发送。
所有cookie都有域名。如果您作为开发人员不设置它们,则浏览器使用当前主机名作为域。域名专门设置为匹配更多主机的事实只会使潜在的目标站点变大。
啊,呃。然后,我参考的错误类型的攻击。是否有可能由第三方获取cookie,而不使用XSS?我并不担心源自我们域的请求到我们自己的后端服务器,而是更关心第三方如何获得用户令牌。 – bioball 2015-03-31 01:46:43
是的 - 中间人攻击或者如果网站没有通过'http'服务,那么只需通过开放的无线网络观察流量即可。开发人员应该假设攻击者会遵守cookie并使用安全的cookie协议:https://www.cse.msu.edu/~alexliu/publications/Cookie/cookie.pdf – 2015-03-31 13:55:29
好的,感谢您的信息,这已经非常有帮助。 – bioball 2015-03-31 22:45:12