用户登录安全性的简单实例分析(Cookie、加密)
关键字:Cookie;DES加解密算法;安全性;权限;
下面是以前写的一篇文章,不一定会在目前的实际项目中应用,所以仅作为个人的业余读书、业余爱好。
从事hack的朋友可能会经常提到SQL注入、暴库、COOKIE欺骗、跨站提交、端口、服务、脚本漏洞,IIS漏洞(这个和自己写的程序就没关了,是IIS的配置与安全检测问题)、……各式各样的入侵,然而在OS安全性日益成熟的今天,网站形式的入侵成为了hacker们最主要的方式,因为在编码方面不是每一个程序员都能够完全的处理的好,尤其是Web Develop方面的新手(像我这样J),这一点可能会很容易忽视,熟不知安全问题是Web系统的根本……而这些实际上的安全问题个人觉得还是可以避免的,关键是看自己如何来编程,如何去实现,下面我以Cookie使用做事例来简单的说明下:
Cookie的使用是涉及到用户的权限、帐户等敏感信息的,所以一旦你决定使用Cookie来存放用户的登陆或配置信息,你一定要注意对COOKIE的加密等操作了,当然,也不能说这样不安全,那还干吗用它呢,不是这样的,其实既然COOKIE存在自然有它存在的道理,现在的大部分站点,基本上都采用Cookie来存放这些信息小,可见COOKIE还是有它的魅力!
对于Cookie的相关知识,援引一下它的简单介绍:
简介
Cookie 为 Web 应用程序保存用户相关信息提供了一种有用的方法。例如,当用户访问您的站点时,您可以利用 Cookie 保存用户首选项或其他信息,这样,当用户下次再访问您的站点时,应用程序就可以检索以前保存的信息。
Cookie 的限制
在开始讨论 Cookie 的技术细节之前,我想先介绍一下 Cookie 应用的几条限制。大多数浏览器支持最多可达 4096 字节的 Cookie,如果要将为数不多的几个值保存到用户计算机上,这一空间已经足够大,但您不能用一个 Cookie 来保存数据集或其他大量数据。在实际应用中,您可能并不希望在 Cookie 中保存大量的用户信息,而只希望保存用户编号或其他标识符。之后,当用户再次访问您的站点时,您就可以使用该用户 ID 在数据库中查找用户的详细信息。(有关保存用户信息的说明,请参阅 Cookie 和安全性。)
浏览器还限制了您的站点可以在用户计算机上保存的 Cookie 数。大多数浏览器只允许每个站点保存 20 个 Cookie。如果试图保存更多的 Cookie,则最先保存的 Cookie 就会被删除。还有些浏览器会对来自所有站点的 Cookie 总数作出限制,这个限制通常为 300 个。
您最可能遇到的 Cookie 限制是:用户可以设置自己的浏览器,拒绝接受 Cookie。您很难解决这个问题,除非完全不使用 Cookie 而是通过其他机制来保存用户相关信息。保存用户信息的一种常用方法是会话状态,但会话状态又依赖于 Cookie。这一点在后面的 Cookie 和会话状态中
控制 Cookie 有效范围
默认情况下,一个站点的全部 Cookie 都一起保存在客户机上,而且所有这些 Cookie 都会随着对该站点发送的请求一起发送到服务器,也就是说,站点的每个页面都能得到该站点的所有 Cookie。但有时候,您可能希望 Cookie 更具有针对性,这时,您可以通过两种方法设置 Cookie 的有效范围: 把 Cookie的有效范围限制在服务器上的一个文件夹中,实际上这样就将 Cookie 限制到站点上的某个应用程序。
把有效范围设置为某个域,从而允许您指定域中的哪些子域可以访问 Cookie
COOKIE有效期
您可以读取 Cookie 的名称和值,除此以外,需要了解的有关 Cookie 的信息并不是很多。虽然您可以获取 Domain 和 Path 属性,但是这些属性的用途很有限。例如,您可以读取 Domain 属性,但如果您的页面与 Cookie 不在相同的域,您根本就不会在页面的位置接收到该 Cookie。
您无法读取的是 Cookie 的过期日期和时间。事实上,当浏览器向服务器发送 Cookie 信息时,浏览器并未将过期信息包括在内。您可以读取 Expires 属性,但总是返回为零的日期/时间值。Expires 属性的主要作用是帮助浏览器执行有关 Cookie 保存的日常管理。从服务器的角度来看,Cookie 要么存在要么不存在,所以对服务器而言,有效期并不是有用的信息。所以,浏览器在发送 Cookie 时并不提供此信息。如果您需要 Cookie 的过期日期,就必须重新设置,关于这一点我将在修改和删除 Cookie 中介绍。
更确切地说,您可以在向浏览器发送 Cookie 之前读取已在 Response 对象中设置的 Expires 属性,但您无法从返回的 Request 对象中获取有效期信息。
上面是引用的对COOKIE的简单介绍,具体的信息可参考MSDN文档,下面是自身对Cookie信息操作的简要概述:
在使用COOKIE时,也是把用户名和密码存储起来的,不过为了安全起见,是一定要进行加密的,对于如何写入COOKIE和读取COOKIE,我这里不在追述。
写入到COOKIE后,COOKIE文件中存放信息如下:
COOKIE名,字段名=值,字段名=值,字段名=值……
现在不但要对值进行加密,对字段名也要同样进行加密,具体的实现方式略有不同,扩展性也是.
首先加密字段名,这个可以采用DES加密算法,由于字段名必须是在下次登陆时可以正确识别的,不然你将无法得到对应的字段值,也就不可以判断用户的权限,可见在安全性实现方面不是很妥,下面是我参考VB版的DES加密、解密算法用C#实现的(.NET里该还没有封装吧):
1、首先定义字节型存储数组,用于存储编码时的转换处理
根据上面的实现进行编码加密,可以很方便的读取到字段名、字段值,如果字段值同样的采用该加密算法的话,那还是不可取的,因为该加密算法为对称加密形式的,所以复制串后即可得到解密值,那该怎么做呢?其实字段名是否采用该方法就无关紧要了,而不是字段值.(可能还会遇到没法读字段和值的问题那是因为加密后产生了++=等类似的符号,所以还要进行URL编码或其他操作,复杂度越高越好,当然也不是提倡多重……)
看来对于字段值的加密该是主要完成的地方J,其实也可以自己写个加解密算法,那样在不公布代码的情况下,别人也不会轻易识别的,如果想省事的话,那就直接用MD5(.NET封装了MD5算法,很方便使用temppass=FormsAuthentication.HashPasswordForStoringInConfigFile(temppass,"MD5"))吧,可能会很惊讶,用MD5能读取回来吗?当然可以,既然上面的字段名你得到了,那字段值不是也同样的得到了吗,得到该字段值以后,不管是什么类型的加密,你都可以用它和数据库中存储的校验信息进行比对,单说密码,则可以将读取的MD5字段值和数据库中的MD5密码进行对比,当然了,如果你懒得将密码进行MD5加密(一般都会加密的吧),那也可以读取数据库里的密码信息,转换为MD5后和从COOKIE里读到的MD5加密字段值进行比对,……所有的操作只是一个中间的过程,并不会影响原有的数据信息。
同样的方式对COOKIE文件里的其他字段、字段值进行加密,在完成上面的操作后,在下次登陆时判断COOKIE信息的页面别忘记了一定要和数据库中的信息进行比较,在此基础上,可将COOKIE里读取的信息写入Session,其他页面的权限判断就可以采用Session来操作了(对于COOKIE所有的操作都是以COOKIE中读取数据为前提的……), 以上为个人的言论,不代表大多数人的看法!希望大家批评指正。
In addition:
严格的检查权限、参数过滤
不公开源码、DLL封装
加密越复杂越好
PS:http://blog.csdn.net/webwalker/article/details/707927