服務器端檢查cookie是否被盜

Question

有沒有辦法檢查用戶A的cookie是否被服務器端用戶B盜用？

例如cookie的令牌/使用簡單的散列函數（SHA1例如）

hash_of(user_agent,ip+proxy_ip,username,random_session_key) 

where user_agent is browser's user agent, 
    ip is the client IP address, 
    proxy_ip is the proxy's IP address the client use, 
    username is the username the user currently login, 
    random_session_key is a random number saved to database when a user logged in 

如果該cookie被盜和由另一人在LAN上使用，並且LAN沒有使用任何創建的數據代理但NAT，並且小偷使用的是完全相同的瀏覽器（或欺騙用戶代理），我們在服務器端如何檢測？

Answer 1

是的，有一種方法。它被稱爲Secure Cookie Protocol。

您使用SSL的權利？ （因爲如果你不是，整個談話都毫無意義）。

那麼，你加密的cookie，但使用SSL會話標識符。假設SSL爲您提供了足夠的端點安全性（強密碼等），SCP應該保護您的數據，並讓您知道另一個SSL會話何時嘗試使用同一個cookie（因爲會話ID改變，MAC因此會改變）。

key = HMAC(user name|expiration time, secret_key) 
cookie = user name|expiration time|encrypt(data, key) 
cookie = cookie | HMAC(user name|expiration time|data|sessionid, key) 

所以基本上，你基於SSL會話標識符創建一個唯一的驗證碼。

注意REMOTE_ADDR或用戶代理從不因素，這種用途的東西，是非常不平凡的欺騙，除非你身體損害了客戶端對話框中的唯一因素...

Answer 2

如果cookie已被劫持，已爲時已晚。申請必須妥善保護其祕密。 useragenet是攻擊者控制的，檢查這個值本質上是不安全的。

OWASP - Insufficient Transport Layer Security。

HTTPOnly Cookies "Secure" Cookies

防止XSS，CSRF，和點擊劫持和會話固定。