表单身份验证Cookie漏洞

Question

我对Form authentication Cookie漏洞有疑问。 在JavaScript中，我们可以使用document.cookie来访问表单身份验证cookie值（假设它不是仅HTTP的）。 该值被加密。 我在许多博客中读到，如果有人得到了这种价值，我们的安全就会受到破坏。 我的问题是，由于表单身份验证加密方法使用机器密钥对Cookie进行加密，因此他（攻击者）如何突破（cookie内的凭据），因此要解密它，需要使用相同的机器密钥？ 不是吗 您能否就此说明我，因为攻击者只有在拥有我的机器密钥才能解密它的情况下，该cookie值才容易受到攻击？ 我在这里吗？

Answer 1

由于表单身份验证加密，他（攻击者）如何违反它（cookie内的凭据）

他不必解密加密的cookie。 他可以使用Cookie的加密值来成为您。

服务器进行加密，因此它不知道向其提供cookie的浏览器是该cookie最初的发布者。

使用像“ 修改此Cookie”之类的扩展名（或实现该功能的任何其他功能），如果我能够获取它，则可以将Cookie设置为您的加密值。

具有讽刺意味的是，有人问了关于StackOverflow的相同问题 。 请查看Troy的帖子以获取更多信息。

Answer 2

我做了什么，不知道它实际上有多大帮助，但我从未见过任何违反（尽管尝试了100次）将cookie与IP地址配对的问题，这意味着我查找了如果呼叫来自与上一个呼叫相同的IP地址，否则，它将重置cookie，您将不得不再次登录。 这并非对所有站点都完全可行，但就我而言，添加一些安全措施而非允许移动性更为重要。

对于MITM攻击，这种方法可能很容易接受，但除非有庞大的预算并且对性能和可访问性没有限制，否则您永远无法保护自己免受所有突发事件的影响。