不举长篇大论
1.cookie 本质上是存储在客户端本地硬盘的信息,有持久性和临时性两种,浏览器会根据domain【域名】来向服务器发送对应的cookie
2.session 本质上是一个临时cookie,保存的信息是sessionId,服务器内存会保存有该ID记录的session对象信息
常见Web安全攻击手段
一. Cookie欺骗
1.利用抓包截获 cookie信息
2.利用 Cookies插件 , 人为在domain下面添加cookie信息
3.达到信息认证的效果
二. XSS跨站脚本攻击
核心方式:HTML注入
场景: 比如应用程序做了一个留言板 , 要展示用户的留言
此时恶意用户在留言板提交 <script>alert(document.cookie)</script>
该代码被提交到数据库 , 加载留言板时改代码会做为 HTML被注入到页面
此时所有用户的cookie信息都会在Javascrip脚本语言中被盗取
修复方式:不相信用户提交的数据
过滤掉 < 改为< > 改为> javascript script等
服务器这边 重要的cookie设置为 httpOnly
三. CSRF 跨站点请求伪造
核心方式 : 让用户点击进入攻击者制造的第三方页面请求正规站点的接口
修复方式 :很简单 , 攻击者并没有窃取用户的信息 , 而是在用户不知情的情况下, 使用用户的权限访问正规站点
同源策略 : 浏览器不允许跨站发送权限信息(cookie)即可 , 这样在第三方站点访问正规站点不会发送cookie , 就不会通过正规网站的权限认证