Cookie

Cookie原理

Cookie,也可以用其復(fù)數(shù)形式Cookies來表示。是指某些網(wǎng)站為了辨別用戶身份而儲存在用戶本地終端上的數(shù)據(jù)（通常經(jīng)過加密），它是網(wǎng)景公司的前雇員Lou Montulli在1993年3月發(fā)明。

目錄

• 1 Cookie介紹
• 2 Cookie的作用
• 3 生存周期
• 4 腳本攻擊
• 5 Cookie的安全問題
  • 5.1 Cookie欺騙
  • 5.2 Flash的代碼隱患
• 6 刪除IE瀏覽器cookie
• 7 相關(guān)條目
• 8 參考資料

Cookie介紹

• Cookie就是服務(wù)器暫存放在你的電腦里的資料（.txt格式的文本文件），通過在HTTP傳輸中的狀態(tài)好讓服務(wù)器用來辨認你的計算機。當你在瀏覽網(wǎng)站的時候，Web服務(wù)器會先送一小小資料放在你的計算機上，Cookie 會幫你在網(wǎng)站上所打的文字或是一些選擇都記錄下來。

• 當下次你再訪問同一個網(wǎng)站，Web服務(wù)器會先看看有沒有它上次留下的Cookie資料，有的話，就會依據(jù)Cookie里的內(nèi)容來判斷使用者，送出特定的網(wǎng)頁內(nèi)容給你。

Cookie的作用

• cookie有什么作用呢？現(xiàn)在上許多網(wǎng)站都用新用戶注冊這一項，有時注冊了一下，等到下次再訪問該站點時，會自動識別到你，并且向你問好，是不是覺得很親切？當然這種作用只是表面現(xiàn)象，更重要的是，網(wǎng)站可以利用cookie跟蹤統(tǒng)計用戶訪問該網(wǎng)站的習(xí)慣，比如什么時間訪問，訪問了哪些頁面，在每個網(wǎng)頁的停留時間等。

• 利用這些信息，一方面是可以為用戶提供個性化的服務(wù)，另一方面，也可以作為了解所有用戶行為的工具，對于網(wǎng)站經(jīng)營策略的改進有一定參考價值。例如，你在某家航空公司站點查閱航班時刻表，該網(wǎng)站可能就創(chuàng)建了包含你旅行計劃的 Cookies，也可能它只記錄了你在該站點上曾經(jīng)訪問過的Web頁，在你下次訪問時，網(wǎng)站根據(jù)你的情況對顯示的內(nèi)容進行調(diào)整，將你所感興趣的內(nèi)容放在前列。這是高級的Cookie應(yīng)用。

• 目前Cookie最廣泛的是記錄用戶登錄信息，這樣下次訪問時可以不需要輸入自己的用戶名、密碼了——當然這種方便也存在用戶信息泄密的問題，尤其在多個用戶共用一臺電腦時很容易出現(xiàn)這樣的問題。

生存周期

• Cookie可以保持登錄信息到用戶下次與服務(wù)器的會話，換句話說，下次訪問同一網(wǎng)站時，用戶會發(fā)現(xiàn)不必輸入用戶名和密碼就已經(jīng)登錄了（當然，不排除用戶手工刪除Cookie）。而還有一些Cookie在用戶退出會話的時候就被刪除了，這樣可以有效保護個人隱私。

• Cookie在生成時就會被指定一個Expire值，這就是Cookie的生存周期，在這個周期內(nèi)Cookie有效，超出周期Cookie就會被清除。有些頁面將Cookie的生存周期設(shè)置為“0”或負值，這樣在關(guān)閉瀏覽器時，就馬上清除Cookie，不會記錄用戶信息，更加安全。

腳本攻擊

• 盡管cookie沒有病毒那么危險，但它仍包含了一些敏感信息：用戶名，計算機名，使用的瀏覽器和曾經(jīng)訪問的網(wǎng)站。用戶不希望這些內(nèi)容泄漏出去，尤其是當其中還包含有私人信息的時候。

• 這并非危言聳聽，一種名為Cross site scripting的工具可以達到此目的。在受到Cross site scripting攻擊時，cookie盜賊和cookie毒藥將竊取內(nèi)容。一旦cookie落入攻擊者手中，它將會重現(xiàn)其價值。

• cookie盜賊：搜集用戶cookie并發(fā)給攻擊者的黑客。攻擊者將利用cookie信息通過合法手段進入用戶帳戶。

cookie毒藥：利用安全機制，攻擊者加入代碼從而改寫cookie內(nèi)容，以便持續(xù)攻擊。

Cookie的安全問題

適用對象：所有希望上網(wǎng)安全的讀者

Cookie欺騙

• Cookie記錄著用戶的帳戶ID、密碼之類的信息，如果在網(wǎng)上傳遞，通常使用的是MD5方法加密。這樣經(jīng)過加密處理后的信息，即使被網(wǎng)絡(luò)上一些別有用心的人截獲，也看不懂，因為他看到的只是一些無意義的字母和數(shù)字。然而，現(xiàn)在遇到的問題是，截獲Cookie的人不需要知道這些字符串的含義，他們只要把別人的Cookie向服務(wù)器提交，并且能夠通過驗證，他們就可以冒充受害人的身份，登陸網(wǎng)站。

• 這種方法叫做Cookie欺騙。Cookie欺騙實現(xiàn)的前提條件是服務(wù)器的驗證程序存在漏洞，并且冒充者要獲得被冒充的人的Cookie信息。目前網(wǎng)站的驗證程序要排除所有非法登錄是非常困難的，例如，編寫驗證程序使用的語言可能存在漏洞。而且要獲得別人Cookie是很容易的，用支持Cookie的語言編寫一小段代碼就可以實現(xiàn)（具體方法見三），只要把這段代碼放到網(wǎng)絡(luò)里，那么所有人的Cookie都能夠被收集。

• 如果一個論壇允許HTML代碼或者允許使用Flash標簽就可以利用這些技術(shù)收集Cookie的代碼放到論壇里，然后給帖子取一個吸引人的主題，寫上有趣的內(nèi)容，很快就可以收集到大量的Cookie。在論壇上，有許多人的密碼就被這種方法盜去的。至于如何防范，目前還沒有特效藥，我們也只能使用通常的防護方法，不要在論壇里使用重要的密碼，也不要使用IE自動保存密碼的功能，以及盡量不登陸不了解底細的網(wǎng)站。

Flash的代碼隱患

• Flash中有一個getURL（）函數(shù)，Flash可以利用這個函數(shù)自動打開指定的網(wǎng)頁。因此它可能把你引向一個包含惡意代碼的網(wǎng)站。打個比方，當你在自己電腦上欣賞精美的Flash動畫時，動畫幀里的代碼可能已經(jīng)悄悄地連上網(wǎng)，并打開了一個極小的包含有特殊代碼的頁面。

• 這個頁面可以收集你的Cookie、也可以做一些其他的事情，比如在你的機器上種植木馬甚至格式化你的硬盤等等。對于Flash的這種行為，網(wǎng)站是無法禁止的，因為這是Flash文件的內(nèi)部行為。我們所能做到的，如果是在本地瀏覽盡量打開防火墻，如果防火墻提示的向外發(fā)送的數(shù)據(jù)包并不為你知悉，最好禁止。如果是在Internet上欣賞，最好找一些知名的大網(wǎng)站。

刪除IE瀏覽器cookie

1. 點擊瀏覽器工具欄上面的“工具”菜單.
2. 在打開的下拉列表中點擊“Internet選項”.
3. 在打開的彈出菜單中點擊"刪除按鈕".
4. 選中"Cookie 和網(wǎng)站數(shù)據(jù)"，其它項可以不選中，再點擊下面的刪除按鈕。等待約10秒鐘左右，就會出現(xiàn)刪除成功的提示.

相關(guān)條目

• session

參考資料

• 互聯(lián)網(wǎng)開源知識