特定于域的cookie是否容易受到CSRF的影响？

比方说，我设置一个特定的域的cookie在浏览器中，像这样：特定于域的cookie是否容易受到CSRF的影响？

document.cookie="foo=bar;domain=.baz.com"

是这个cookie容易受到CSRF？我一直无法找到这个问题的明确答案。我们目前有一个使用智威汤逊建立的认证系统，我试图找出如何跨域扩展这些会话。

来源

2015-03-30 bioball

是的。

CSRF攻击导致受害者在他们已经通过身份验证的站点上执行意外操作。它通过欺骗用户提交表单（或类似的行为）来工作。提交的来源可以托管在任何域上，但目标是他们登录到的站点。由于该Cookie是由原始网站设置的，因此它将与意外操作一起发送。

所有cookie都有域名。如果您作为开发人员不设置它们，则浏览器使用当前主机名作为域。域名专门设置为匹配更多主机的事实只会使潜在的目标站点变大。

请参阅Cross-Site Request Forgery (CSRF)

来源

2015-03-30 22:23:05

啊，呃。然后，我参考的错误类型的攻击。是否有可能由第三方获取cookie，而不使用XSS？我并不担心源自我们域的请求到我们自己的后端服务器，而是更关心第三方如何获得用户令牌。 – bioball 2015-03-31 01:46:43

是的 - 中间人攻击或者如果网站没有通过'http'服务，那么只需通过开放的无线网络观察流量即可。开发人员应该假设攻击者会遵守cookie并使用安全的cookie协议：https：//www.cse.msu.edu/~alexliu/publications/Cookie/cookie.pdf – 2015-03-31 13:55:29

好的，感谢您的信息，这已经非常有帮助。 – bioball 2015-03-31 22:45:12

特定于域的cookie是否容易受到CSRF的影响？

回答

相关问题