搜索

[19727] 2021-03-16_谷歌、苹果、微软纷纷禁用它，第三方Cookie该何去何从？

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2021-03-16_谷歌、苹果、微软纷纷禁用它，第三方Cookie该何去何从？ 谷 歌 、 苹 果 、 微 软 纷 纷 禁 用 它 ， 第 三 方 C o o k i e 该 何 去 何 从 ？ i 春 秋   2 0 2 1 - 0 3 - 1 6 什 么 是 C o o k i e ？ 最 开 始 使 用 C o o k i e 只 是 用 来 记 录 访 问 网 站 者 的 用 户 信 息 、 历 史 记 录 、 访 问 偏 好 等 信 息 ， 目 的 是 想 通 过 这 些 信 息 提 升 访 问 者 的 使 用 体 验 。 但 随 着 收 集 到 的 用 户 数 据 的 不 断 增 加 ， 相 继 诞 生 了 用 户 行 为 分 析 、 个 性 化 推 荐 、 精 准 营 销 等 应 用 模 式 ， 构 成 了 如 今 数 字 营 销 生 态 的 根 基 。 然 而 ， 随 着 移 动 互 联 网 的 快 速 发 展 ， 第 三 方 C o o k i e 侵 犯 用 户 隐 私 的 问 题 也 愈 发 严 重 ， 谷 歌 、 苹 果 、 微 软 等 就 已 采 取 措 施 ， 禁 用 第 三 方 C o o k i e ， 从 而 保 障 用 户 隐 私 安 全 。 今 天 i 春 秋 将 通 过 一 期 公 开 课 《 C o o k i e 到 底 是 什 么 ？ 》 详 细 讲 述 了 C o o k i e 的 定 义 以 及 由 C o o k i e 所 引 发 的 争 议 。 争 议 1 ： 许 多 网 站 声 称 使 用 C o o k i e 能 够 提 升 用 户 体 验 ， 事 实 真 的 是 这 样 吗 ？ 争 议 2 ： C o o k i e 还 会 给 用 户 带 来 其 他 的 安 全 隐 患 吗 ？ 感 兴 趣 的 小 伙 伴 ， 识 别 感 兴 趣 的 小 伙 伴 ， 识 别 二 维 码 二 维 码 立 即 看 课 立 即 看 课 简 单 来 说 ， C o o k i e 就 是 服 务 器 委 托 浏 览 器 存 储 在 客 户 端 里 的 一 些 数 据 ， 这 些 数 据 通 常 都 会 记 录 用 户 的 关 键 识 别 信 息 。 一 旦 被 滥 用 ， 会 对 W e b 安 全 和 用 户 隐 私 造 成 极 大 的 伤 害 。
P S ： ： W e b 端 看 课 体 验 更 佳 ， 看 课 地 址 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 5 6 8 7 1 本 节 公 开 课 的 学 习 时 长 9 分 钟 ， 观 看 人 数 已 达 数 万 人 ， 满 满 的 干 货 ， 非 常 适 合 初 级 学 习 者 ， 即 使 小 白 也 能 听 懂 哦 ~ C o o k i e 工 作 原 理 工 作 原 理 C o o k i e 是 由 服 务 器 发 出 存 储 在 浏 览 器 的 特 殊 信 息 ， 那 具 体 是 怎 样 的 一 个 流 程 呢 ？ 为 了 大 家 便 于 理 解 ， 我 们 以 用 户 登 录 为 例 子 为 大 家 画 一 幅 C o o k i e 的 工 作 原 理 图 ： 在 输 入 用 户 名 和 密 码 之 后 ， 浏 览 器 将 用 户 名 和 密 码 发 送 给 服 务 器 ， 服 务 器 进 行 验 证 ， 验 证 通 过 之 后 将 用 户 信 息 加 密 后 ， 封 装 成 C o o k i e 放 在 请 求 头 中 返 回 给 浏 览 器 。 浏 览 器 收 到 服 务 器 返 回 数 据 ， 发 现 请 求 头 中 有 一 个 ： S e t - C o o k i e ， 然 后 它 就 把 这 个 C o o k i e 保 存 起 来 ， 下 次 浏 览 器 再 请 求 服 务 器 的 时 候 ， 会 把 C o o k i e 也 放 在 请 求 头 中 传 给 服 务 器 ： 服 务 器 收 到 请 求 后 从 请 求 头 中 拿 到 C o o k i e ， 然 后 解 析 并 到 用 户 信 息 ， 说 明 此 用 户 已 登 录 ， C o o k i e 是 将 数 据 保 存 在 客 户 端 的 。 H T T P / 1 . 1   2 0 0   O K C o n t e n t - t y p e :   t e x t / h t m l S e t - C o o k i e :   u s e r _ c o o k i e = R g 3 v H J Z n e h Y L j V g 7 q i 3 b Z j z g ;   E x p i r e s = T u e ,   1 5   A u g   2 0 1 9   2 1 : 4 7 : 3 8   G M T ;   P a t h = / ;   D o m a i n = . 1 6 9 i t . c o m ;   H t t p O n l y G E T   / s a m p l e _ p a g e . h t m l   H T T P / 1 . 1 H o s t :   w w w . e x a m p l e . o r g C o o k i e :   u s e r _ c o o k i e = R g 3 v H J Z n e h Y L j V g 7 q i 3 b Z j z g
这 里 我 们 可 以 看 到 ， 用 户 信 息 是 保 存 在 C o o k i e 中 ， 也 就 相 当 于 是 保 存 在 浏 览 器 中 ， 那 就 说 明 可 以 随 意 修 改 用 户 信 息 ， 这 是 一 种 不 安 全 的 策 略 ！ 强 调 一 点 ： C o o k i e 无 论 是 服 务 器 发 给 浏 览 器 还 是 浏 览 器 发 给 服 务 器 ， 都 是 放 在 请 求 头 中 的 ！ 案 例 回 顾 案 例 回 顾 一 个 在 m a i l . r u 中 发 现 D O M   X S S 的 案 例 ： 查 找 易 受 攻 击 的 参 数 查 找 易 受 攻 击 的 参 数 在 浏 览 h t t p s : / / m a i l . r u 时 ， 使 用 b u r p s u i t e 的 p a r a m   m i n e r 拓 展 工 具 来 寻 找 隐 藏 的 参 数 。 破 解 后 ， 发 现 了 很 多 有 用 的 参 数 。 其 中 之 一 是 称 为 “ g p ” 的 c o o k i e   H T T P 请 求 头 。 在 包 含 这 种 请 求 头 的 响 应 中 ， 有 很 大 可 能 性 存 在 X S S 。 验 证 验 证 X S S 漏 洞 漏 洞 测 试 反 射 型 X S S 时 的 一 个 有 用 技 巧 是 ： 一 次 只 改 变 一 个 参 数 ， 以 确 定 W e b 应 用 程 序 防 火 墙 （ 如 果 存 在 ） 正 在 过 滤 掉 哪 些 字 符 。 一 旦 知 道 哪 些 字 符 被 过 滤 掉 ， 哪 些 没 被 过 滤 ， 就 可 以 更 好 地 制 作 绕 过 W A F 的 p a y l o a d 。 然 而 正 在 测 试 的 应 用 程 序 并 非 如 此 ， 当 时 作 为 菜 鸟 的 我 ， 不 了 解 与 跨 站 点 脚 本 漏 洞 相 关 的 概 念 ， 于 是 试 图 插 入 以 下 p a y l o a d 来 测 试 C o o k i e 参 数 。 在 b u r p s u i t e 中 单 击 响 应 ， 选 择 “ 在 浏 览 器 中 显 示 响 应 ” ， 然 后 将 生 成 的 链 接 加 载 到 F i r e f o x 中 ， 几 秒 钟 加 载 完 毕 后 ， 并 没 有 弹 出 想 要 的 那 个 小 弹 窗 。 经 过 N 小 时 的 p a y l o a d 修 改 后 ， 请 求 和 响 应 是 这 样 的 ： < s c r i p t > a l e r t ( d o c u m e n t . c o o k i e ) < / s c r i p t > G E T   /   H T T P / 1 . 1   H o s t :   m a i l . r u   U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 ;   r v : 6 0 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 0 . 0   A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , / ; q = 0 . 8   A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5   A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e   C o o k i e :   g p =   s o m e   a l p h a   n u m e r i c   C o n n e c t i o n :   c l o s e   U p g r a d e - I n s e c u r e - R e q u e s t s :   1   C a c h e - C o n t r o l :   m a x - a g e = 0
第 二 天 ， 继 续 测 试 时 ， 突 然 发 现 要 关 闭 刚 开 始 的 那 个 脚 本 标 签 ， 然 后 引 入 一 个 新 标 签 。 于 是 将 p a y l o a d 修 改 为 < / s c r i p t > < s c r i p t > a l e r t ( d o c u m e n t . d o m a i n ) < / s c r i p t > 。 该 p a y l o a d 成 功 触 发 了 请 求 ， 收 到 了 预 期 响 应 ， 如 下 图 ： 将 响 应 加 载 到 浏 览 器 中 会 弹 出 警 报 框 ： 成 功 提 交 了 报 告 ， 还 获 得 了 相 应 的 奖 励 。 E n d —   往 期 回 顾 往 期 回 顾   — 2 0 0   O K < / s c r i p t > < s c r i p t   i d = " s c r i p t : g l o b a l s " > v a r   m r = { : { B U I L D : " 3 0 7 a d 2 1 " , V E R S I O N : 1 5 6 6 4 1 0 7 9 7 , T I M E S T A M P : 1 5 6 7 8 4 8 2 1 4 2 8 1 , T I M E S T A M P _ L O C A L :   D a t e . n o w ( ) , T I M E Z O N E : 1 0 8 0 0 , A U T H : ! 1 , C I T Y : " К а м п а л а " , R E G I O N _ I D : 2 3 3 ,   P A G E _ I D :   " 1 5 6 7 8 6 5 1 2 1 9 0 3 1 5 6 8 6 8 9 8 8 6 8 7 5 " , A C C _ C N T :   f a l s e , M E D I A _ O R D E R : " r e g i o n a l , r e g i o n a l , a u t o , a u t o , l a d y , l a d y , d e t i , d e t i , h e a l t h , h e a l t h , s p o r t , s p o r t , c i n e m a , c i n e m a , h i t e c h , h i t e c h , g a m e s , g a m e s " " i n c u t , s t u b " , W I D G E T _ O R D E R : " h o r o , t v , t o r g " , F E A T U R E _ O R D E R : " a u t o , l a d y , s p o r t , c i n e m a , h i t e c h , g a m e s " , T A R G E T : " d e f a u l t " , S I T E Z O N E : 1 5 , S I T E I D d e s k t o p " , B R O W S E R : " F i r e f o x " , P L A T F O R M : " L i n u x " , R E G I O N _ L E V E L _ I D : 1 8 8 , G P : " P a y l o a d   g e t s   r e f l e c t e d   h e r e   ; " , C S R F : " 3 b 0 2 1 e 6 9 c 3 b f 4 9 f e 9 0 0 0 3 7 b 1 8 f c 5 8 1 b e " , M A N U A L _ R E G I O N _ N O T _ R U S S I A : t r u e , H O N E Y P O T :   ' . g r i d m a i n - c o l   . t g b ,   . g r i d   . g r i d _ m a i n - c o l
技 能 提 升 公 开 课 ▶   S S R F 漏 洞 防 御 措 施 ▶   浅 析 勒 索 病 毒 ▶   J A V A 反 序 列 化 学 习 ▶   回 首 白 帽 老 兵 十 年 网 安 之 路 ▶   通 读 L i n u x 提 权 原 理 和 手 法 ▶   浅 析 红 队 基 础 设 施 ▶   W i n d o w s 域 渗 透 之 K e r b e r o s 委 派 科 普 类 公 开 课 ▶ 浅 析 威 胁 情 报 ▶ 浅 析 僵 尸 网 络 ▶ 信 用 卡 安 全 ▶ 大 数 据 的 前 世 今 生 ▶ 大 牛 教 你 做 好 应 急 响 应 ▶ 免 费 的 陷 阱 ： 警 惕 公 共 W i - F i ▶ 无 线 键 盘 有 漏 洞 ▶ 0 d a y 危 机 ， 隐 藏 的 攻 防 战 ▶ 加 密 算 法 解 析 ▶ D N S 解 析 ▶   红 队 建 设 之 道 ▶   手 机 锁 屏 密 码 安 全 ▶   中 间 人 攻 击 ▶   十 分 钟 看 懂 隐 写 术 ▶   信 息 泄 露 问 题 ▶   狡 猾 的 漏 洞 利 用 ▶   R F I D 工 作 原 理 分 析 ▶   披 露 世 界 顶 级 黑 客 的 内 心 独 白 ▶   一 分 钟 看 穿 网 络 钓 鱼 D C   G R O U P 精 品 沙 龙 系 列 ▶   V P N 设 备 的 矛 与 盾 ▶   C A N 总 线 安 全 ▶   W i n d o w s   密 码 攻 防 ▶   基 于 攻 击 链 的 威 胁 ， 工 控 安 全 如 何 防 护 ▶   初 窥 I o T 安 全   浅 析 常 规 漏 洞 文 末 下 方 点 个 赞 赞 和 在 看 在 看 哦
i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理