网站登录持久化Cookie方案

前提

1. Cookie 是脆弱的。cookie 容易被窃取和受到垮站脚本的攻击，我们必须接受 cookie 是不安全的。
2. 持久化登录 cookies 使得它们能通过网站的认证。这跟使用用户名和密码登录是相同的。
3. 能从登录 cookie 里恢复密码的设计比不能恢复更危险。
4. 把持久化 cookie 跟 ip 绑定起来大多数时候使它们并不持久。
5. 用户可能希望同时把 cookie 持久保存在多个浏览器，多台机器上。

方案

首先这个 cookie 由用户名、分隔符和一个很大的随机数（128 位是比较理想的可以接受的长度）组成。服务器上有一张表保存有这个随机数和用户名的关系，用来验证 cookie 是否合法。如果 cookie 提供的随机数和用户名跟表上存的能对应上且未过期，那么就可以接受用户的登录。 表结构：

代码如下:

id username token  expire_time
1 foo 598433213…..8766688 2012-09-21 00:00:00
2 bar 435435997…..4354564 2012-09-22 11:00:00

某些时候，一个用户名可能对应多个随机数。另外，虽然不大可能，但即使有两个用户名对应同一个随机数也没什么关系。

一个持久化 cookie 被认证后，这个用来登录的随机数就失效了，并且需要分配一个新的 cookie （生成一个新的随机数, 并更新数据库里的记录）给用户。然后用标准的 session 管理机制来处理 session 的生命周期，而那个新设置的 cookie 直到这次 session 结束都不会再被检查。

服务器不需要特意防止一个以前用过的随机数被重新使用，这个几率非常小，即使发生了也没有人会知道可以利用它。

当用户通过退出功能退出后，他们当前 cookie 里的随机数也就失效了。用户也应该可以选择清除所有被系统记录的持久化登录。

数据库不定期的清理那些过期的记录（类似 session 的 gc 机制）。

下面这些功能不能允许通过 cookie 登录的用户使用：


代码如下:

* 修改密码
* 修改用户邮箱（特别是如果系统的密码找回机制是基于邮箱的）
* 任何用户的敏感信息
* 任何需要支付的功能

最后

如果用户的登录 cookie 受到了攻击，攻击者就能以这个用户的身份来使用网站的功能。这是使用 cookie 无法避免的！尽管如此，攻击者应该不能：


代码如下:

* 接触用户的敏感信息
* 花用户的钱
* 重置用户密码
* 以用户的名义阻止用户接收网站的通知
* 共享偷到的 cookie 给其他人

赞 (0)

相关推荐

  • JavaWeb开发使用Cookie创建-获取-持久化、自动登录、购物记录、作用路径

    JavaWeb开发使用Cookie创建-获取-持久化、自动登录、购物记录、作用路径

    1.cookie是啥?随手百度了网友的说说 简单的说,Cookie就是服务器暂存放在你计算机上的一笔资料,好让服务器用来辨认你的计算机.当你在浏览网站的时候,Web服务器会先送一小小资料放在你的计算机上,当下次你再光临同一个网站,Web服务器会先看看有没有它上次留下的Cookie资料,有的话,就会依据Cookie里的内容来判断使用者,送出特定的网页内容给你. 2.cookie在哪里? 3.cookie可以删除吗? 4.cookie实现原理 第一次请求浏览器,在浏览器的cookie存储区,没有co

  • 网站登录持久化Cookie方案

    前提 1. Cookie 是脆弱的.cookie 容易被窃取和受到垮站脚本的攻击,我们必须接受 cookie 是不安全的.2. 持久化登录 cookies 使得它们能通过网站的认证.这跟使用用户名和密码登录是相同的.3. 能从登录 cookie 里恢复密码的设计比不能恢复更危险.4. 把持久化 cookie 跟 ip 绑定起来大多数时候使它们并不持久.5. 用户可能希望同时把 cookie 持久保存在多个浏览器,多台机器上. 方案 首先这个 cookie 由用户名.分隔符和一个很大的随机数(12

  • node.js+express+mySQL+ejs+bootstrop实现网站登录注册功能

    node.js+express+mySQL+ejs+bootstrop实现网站登录注册功能

    同志们,经过不懈的努力,查了各种文档,终于鼓捣出了一个稍微像样一点的node项目,当然如果直接拿去项目里用,这个demo还太简单,毕竟一个完整的登录注册还有很多实际的内容,本案例mySQL的用户列表里,为便于理解,只设置了username 和password两个字段,正常的登录注册,肯定会有更多的字段的.但是对于初学node的人来说,比如笔者,还是学习到了不少内容,甚至,紧张的我不知如下下笔,肯定这个是参考了很多网上其他少年博客,以后这个登录注册demo会依据项目的需要而有所改进, 效果如下 效

  • vue登录页面cookie的使用及页面跳转代码

    1.大概流程 a.登录:前端使用validate对输入信息进行验证 验证成功则成功跳转到用户信息页并存储cookie值 b.首页跳转用户信息页:判断cookie值cookie存在并不为空则跳转用户信息页,若为空则跳转登录页 c.退出页:点击退出跳转首页并删除cookie值 2.目录介绍 cookie.js为公共方法,用于cookie的存储.获取及删除 login.vue :登录页 index.vue:首页 user.vue:用户信息页 myinfo.vue:退出页 3.文件内容 a.cookie

  • Python破解网站登录密码脚本

    Python破解网站登录密码脚本

    目录 关键代码解释 完整代码 方法一 运行结果 方法二 运行结果 测试靶机为DVWA,适合DVWA暴力破解模块的Low和Medium等级 关键代码解释 url指定url地址 url = "http://192.168.171.2/dvwa/vulnerabilities/brute/" header设置请求头 header = { 'User-Agent':'Mozilla/5.0 (Windows NT 10.0; WOW64; rv:46.0) Gecko/20100101 Fir

  • Python实现破解网站登录密码(带token验证)

    Python实现破解网站登录密码(带token验证)

    目录 前言 关键代码解释 完整代码 运行结果 补充 前言 上一篇暴力破解文章:一个简单的Python暴力破解网站登录密码脚本 测试靶机为Pikachu漏洞练习平台暴力破解模块下的 “token防爆破?” 春节期间歇了一阵子,吃睡玩看小说.写这个脚本的起因是因为burp设置带token的暴力破解我只会用pitchfork草叉模式,要是用cluster bomb集束炸弹模式笛卡儿积那样就不会了,所以就干脆把之前写的脚本加了点东西实现这个功能了,到时候有空再学学多线程,爆破速度就更快了. 关键代码解释

  • Django自定义插件实现网站登录验证码功能

    Django自定义插件实现网站登录验证码功能

    前言 网站登录的时候我们常常会看到随机的验证码需要输入后台验证,如图: 现在我们来实现在Django中通过自定制插件来实现随机验证 check_code.py 基于PIL生成一个带验证码的图片和验证码,生成验证码图片需要Monaco.ttf字体(重要),可按自己要求更改check_code中的字体和字体文件位置 #!/usr/bin/env python # -*- coding:utf-8 -*- import random from PIL import Image, ImageDraw,

  • 利用DataSet部分功能实现网站登录

    首先,我之前必须完成过注册,并把个人信息存入数据库中. 其次,这部分的个别对象是存于某些文档中的,需要引用命名空间. using System; using System.Collections.Generic; using System.Linq; using System.Web; using System.Web.UI; using System.Web.UI.WebControls; using ZG.Common;//后面用到ScriptHelper对象(ScriptHelper.cs

  • 解决java后台登录前后cookie不一致问题

    解决java后台登录前后cookie不一致问题

    最近公司安全组提了一个bug,要求我们登录前后cookie不一致,这是一个奇葩的bug. 需求如下: 思路分析: 我的解决方案:在登录页面把Cookie中的JSESSIONID 删除掉,就可以实现cookie前后不一致,这种做法是治标不治本,简单粗暴,但是还是满足了需求. //删除cookie中的JSESSIONID document.cookie = "JSESSIONID=0;path=/;expires="+(new Date(0)).toGMTString(); 另外一种解决方

  • PHP 绘制网站登录首页图片验证码

    PHP 绘制网站登录首页图片验证码

    几乎所有的网站登录页都会有验证码,验证码是一种安全保护机制,在注册时要求必须有人工操作进行验证,用于防止垃圾注册机大量注册用户账号占用服务器内存从而使服务器瘫痪. 图片验证码的实现十分简单.首先从指定字符集合中随机抽取固定数目的字符,以一种不规则的方法画在画布上,再适当添加一些干扰点和干扰元素,最后将图片输出,一张崭新的验证码就完成了. 先给大家展示下生成的验证码: 点击刷新: 如果大家对实现效果非常满意,请继续往下看. 前端代码如下: <!DOCTYPE html> <html>

  • php用户登录之cookie信息安全分析

    本文实例讲述了php用户登录之cookie信息安全.分享给大家供大家参考,具体如下: 大家都知道用户登陆后,用户信息一般会选择保存在cookie里面,因为cookie是保存客户端,并且cookie可以在客户端用浏览器自由更改,这样将会造成用户cookie存在伪造的危险,从而可能使伪造cookie者登录任意用户的账户. 下面就说说平常一些防止用户登录cookie信息安全的方法: 一.cookie信息加密法 cookie信息加密法即用一种加密方法,加密用户信息,然后在存入cookie,这样伪造者即使

随机推荐