码迷,mamicode.com
首页 > 其他好文 > 详细

简书模拟登陆缺陷!!!

时间:2018-06-11 19:04:48      阅读:161      评论:0      收藏:0      [点我收藏+]

标签:关闭   需要   另一个   ESS   src   remember   www.   https   cti   

最近研究cookie和sso比较多,不知道你们有没有发现,你只要登录过简书,不logout,不clear cookie,重新打开页面的话,可以无需登录进入账号,于是激发了我强烈的好奇心做了以下测试,并发现了一个很神奇的问题,不知道简书如何定义这个问题,是bug还是符合预期?@简宝玉

一、当我们登录的时候,简书在我们浏览器写入了什么cookie?

  • 未登录

技术分享图片

  • 登录后

技术分享图片

发现登陆后多了两个cookie,分别是`remember_user_token`和`_m7e_session`,从字面意义上大概就是记录user token和sessionid的cookie

二、是否自动登录和这两个cookie有关系?实验如下:

  • 关闭当前浏览器(浏览器未设置关闭时自动清除cookie),这个时候cookie还是存在的,打开浏览器进入jianshu,发现自动登录
  • 手动将这两个cookie删除,关闭浏览器或者刷新页面,发现用户logout了
    至此可以认定这两个cookie和简书的自动登录有关系(应该是远程的授权service做的验证)

三、remember_user_token_m7e_session 是否可以复用?

  • 前提:远程授权服务器认为该token和session是active的或者你没有主动logout
  • 过程:尝试着两个不同的浏览器或者两个不同的机器,根据request请求是会将cookie待会给服务器的工作流程,我们手动将cookieremote_user_token_m7e_session使用console写入www.jianshu.com,你需要在已登录的cookie里边手动复制这两个cookie的值出来,因为你会看到他是httpOnly并且是Secure的,document.cookie无法获取,然后使用如下写去另一个浏览器未登录的jianshu首页中www.jianshu.com
document.cookie = "remember_user_token=你复制出来的值;path=/"
document.cookie = "_m7e_session=你复制出来的值;path=/"

技术分享图片

此时浏览器就会多出两个cookie,由于不是在服务器端设置的HttpOnly和Secure,所以你会发现这两个值并没有打钩,不过没有关系,反正都会跟着request去到服务器端,这个时候你只需要重新刷新一下页面,就会发现自动登录了,不知道简书对这个问题怎么定义?

思考:在远程授权服务器认为我们的token和session失效之前,万一我们的reqeust被代理服务器抓包,并获取header中的两个cookie来手动写入cookie -> 发送请求 -> 自动登录。这样的场景不就很危险吗?@简宝玉

文章所有步骤都是经过实践检验并可行,若有问题,下方请评论,或者想要学习的也可以一起交流。
[](https://upload-images.jianshu.io/upload_images/11678829-51eacfa8a19c1531.png?imageMogr2/auto-orient/st

简书模拟登陆缺陷!!!

标签:关闭   需要   另一个   ESS   src   remember   www.   https   cti   

原文地址:https://www.cnblogs.com/CoXieLearnPython/p/9168353.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!