特定於域的cookie是否容易受到CSRF的影響？

比方說，我設置一個特定的域的cookie在瀏覽器中，像這樣：特定於域的cookie是否容易受到CSRF的影響？

document.cookie="foo=bar;domain=.baz.com"

是這個cookie容易受到CSRF？我一直無法找到這個問題的明確答案。我們目前有一個使用智威湯遜建立的認證系統，我試圖找出如何跨域擴展這些會話。

來源

2015-03-30 bioball

是的。

CSRF攻擊導致受害者在他們已經通過身份驗證的站點上執行意外操作。它通過欺騙用戶提交表單（或類似的行爲）來工作。提交的來源可以託管在任何域上，但目標是他們登錄到的站點。由於該Cookie是由原始網站設置的，因此它將與意外操作一起發送。

所有cookie都有域名。如果您作爲開發人員不設置它們，則瀏覽器使用當前主機名作爲域。域名專門設置爲匹配更多主機的事實只會使潛在的目標站點變大。

請參閱Cross-Site Request Forgery (CSRF)

來源

2015-03-30 22:23:05

啊，呃。然後，我參考的錯誤類型的攻擊。是否有可能由第三方獲取cookie，而不使用XSS？我並不擔心源自我們域的請求到我們自己的後端服務器，而是更關心第三方如何獲得用戶令牌。 – bioball 2015-03-31 01:46:43

是的 - 中間人攻擊或者如果網站沒有通過'http'服務，那麼只需通過開放的無線網絡觀察流量即可。開發人員應該假設攻擊者會遵守cookie並使用安全的cookie協議：https：//www.cse.msu.edu/~alexliu/publications/Cookie/cookie.pdf – 2015-03-31 13:55:29

好的，感謝您的信息，這已經非常有幫助。 – bioball 2015-03-31 22:45:12

特定於域的cookie是否容易受到CSRF的影響？

回答

相關問題