反骨仔

一个业余的 .NET Core 攻城狮

0%

11 深入理解 Cookie 机制

它是 Web 开发中 一个很重要的客户端数据来源,而且它可以实现扩展性很好的会话状态,并且通过使用 Fiddler 来捕获 Web 登录时的 HTTP 数据包来了解登录的原理 。

11.1 HTTP 协议是无状态的

对于浏览的每一次请求,服务器都会独立处理,不与之前或之后的请求发生关联。

即使是同一个浏览器发送 了 3 个请求,服务器也会独立处理这 3 个请求 ,服务器并不知道这 3 个请求是来自同 一个浏览器 。

服务器需要识别浏览器请求,就必须弄清楚浏览器的请求状态。既然 HTTP 协议是无状态的,那就让服务器和浏览器共同维护一个状态,这就是会话机制。

11.2 会话机制

image-20210110143618461

image-20210110143631497

  1. 浏览器第一次请求服务器时,服务器创建一个会话,并将会话的 id 作为响应的一部分发送给浏览器
  2. 浏览器存储会话 id,并在后续第二次和第三次请求中带上会话 id。服务器取得请求中的会话 id 就知道是不是同一个用户了

这样一来,后续请求与第一次请求就产生了关联。

11.3 Cookie 机制

服务器在内存中保存会话对象。浏览器可以使用 Cookie 机制保存会话 id。

image-20210110143758947

Cookie 机制是一种会话机制。Cookie 是浏览器用来存储少量数据的一种机制,数据以“key=value ”形式存储,浏览器发送 HTTP 请求时 ,自动附带 cookie 信息。

11.4 Cookie 是什么

Cookie 是一小段文本信息,伴随着用户请求和页面在浏览器和 Web 服务器之间传递。

Cookie 是一种 HTTP Header,以“key=value”的形式组成,比如 ip_country=CN。

两个 Cookie 之间用分号隔开,比如 ip_country=CN; mbox=check#true#1499311989。

浏览器把 Cookie 通过 HTTP 请求中的 Header,比如“ Cookie: ip_country=CN“发送给 Web 服务器。Web 服务器通过 HTTP 响应中的 Header,比如“ Set-Cookie: ip_country=CN ”,把 Cookie 发送给浏览器 。

使用 Fiddler 可以清楚地看到 Cookie 在浏览器和服务器之间传递的过程。Fiddler 工具中可以清晰地看到 HTTP 请求中的 Cookie 和 HTTP 响应中的 Cookie 。

【实例】启动 Fiddler,打开浏览器访问一些购物网站

image-20210110144132912

11.5 Cookie 的作用

Cookie 最主要的作用是用来做用户认证,还可以用于保存用户的一些其他信息。

Cookie 也可以用于互联网精准广告定向技术,比如用户浏览了某些商品,就可以用 Cookie 将其记录下来,对网民所有的上网行为进行个性化的深度分析:按广告主需求锁定目标受众,进行一对一传播,提供多通道投放,按照效果付费。

11.6 抓包观察上海科技馆网站的登录

我们通过 Fiddler 来抓包观察上海科技馆网站的登录,来理解登录的过程和 Cookie 机制。

第一步:启动 Fiddler,启动浏览器,打开 http://piaoweb.sstm.org.cn/;输入用 户名和密码 ,单击登录(请读者自己注册账号)。

抓包后可以看到浏览器把用户名和密码发送给了 Web 服务器

image-20210116203154194

image-20210110144510162

Web 服务器会验证用户名和密码的正确性,然后通过“ Set-Cookie " 给浏览器发送 3 个 Cookie,其中一个是用来保存登录信息的 。

第二步:在浏览器中打开“用户中心”:http://piaoweb.sstm.org.cn/user/center/orderlist。

抓包后可以看到,HTTP 请求中会带上 Cookie(即在上一步中 Web 服务器返回的 Cookie),这样 Web 服务器就认为浏览器是登录状态。

image-20210110144742949

11.7 Cookie 的属性

从 Fiddler 的抓包中,我们可以看到 Web 服务器返回了下面这一段数据给浏览器。

1
Set-Cookie: cookie_user_token=C5CBD6FBDODAOEE4B5DC36E7075D8CDA; Expires=Thu,06-Jul-2017 09:17:46 GMT;Path=/;HttpOnly
  1. Expires 属性:Expires 的值是一个时间,代表过期时间 。过了这个时间, 该 Cookie 就失效了。

    如果不指定 Expire time , 表示关闭浏览器/页面的时候 , 此 Cookie 就应该被浏览器删除了。

  2. Path 属性:表示 Cookie 所属 的路径,asp.net 默认为“/”,就是根目录 。在同一个服务器上的目录如下: /test/ 、 /test/cd人/test/dd/ 。 现假设一个 Cookiel 的 path 为 /test/ , Cookie2 的 path 为 /test/cd/,那么 test 下的所有页面都可以访问到 Cookiel ,而/test/dd/的子页面不能访问 cookie2 。这是因为 Cookie 只能让其 path 路径下的页面访问。

  3. HttpOnly 属性:这是个关于安全方面的属性,将一个 Cookie 设置为 HttpOnly 后 ,通过 Javascript 脚本将无法读取到 Cookie 信息,这能有效地防止黑客用 xss 发起攻击

【注意】一般来说,跟登录相关的 Cookie 必须设置为 HttpOnly。

11.8 Cookie 的分类

我们可以大致把 Cookie 分为 2 类:会话 Cookie 和持久 Cookie。

会话 Cookie 是一种临时的 cookie,它记录了用户访问站点时的设置和偏好;关闭浏览器,会话 Cookie 就被删除了。

持久 Cookie 存储在硬盘上 ,不管浏览器退出或者计算机重启,持久 cookie 都继续存在。持久 Cookie 有过期时间。

11.9 Cookie 保存在哪里

Cookie 是存在硬盘上的,IE 存 Cookie 的地方和 Firefox 存 Cookie 的地方不一样 。 不同的操作系统存 Cookie 的地方也可能不一样。

不同的浏览器会在各自的独立空间存放 Cookie ,互不干涉。

以 Windows7 、IE8 为例,Cookie 的存放路径为 C:\Users\xiaoj\AppData\Local\Microso\Windows\Temporary Internet Files

【注意】缓存文件和 cookie 文件是存在一起的,都在这个目录下。

image-20210110145719423

不同的网站会有不同的 Cookie 文件:

image-20210110145740702#

11.10 使用和禁用 Cookie

可以在 IE 浏览器中设置禁用 Cookie 。 打开控制面板中的 Internet 选项,选择隐私选项卡。

image-20210110145843541

11.11 网站自动登录的原理

很多网站都有自动登录的功能 , 我们以 “博客园自动登录”为例来说明 Cookie 是如何传递的。

image-20210110145923058

在登录页面输入用户名、密码,选择保存密码单击登录(这时候,其实在你的机器上己保存好了登录的 Cookie ,可以按照上节介绍的方法去你的计算机上找一下博客园的(Cookie)。

我们下次访问博客园的流程如下:

  1. 用户打开 IE 浏览器,在地址栏输入 http://www.cnblogs.com
  2. IE 首先会在硬盘中查找关于 cnblogs.com 的 Cookie,然后把 Cookie 放到 HTTP Request 中,再把 Request 发给 Web 服务器
  3. Web 服务器返回博客园首页,这时你会看到自己已经登录了。

11.12 Cookie 和文件缓存的区别

【提示】很多人会把 Cookie 和文件缓存弄混淆,这是两个完全不一样的东西。唯一的相同之处可能是它们俩都存在硬盘上,而且存在同一个文件夹下 。

我们可以在 IE 中分别选择删除 Cookie 和缓存文件。

image-20210110150156545

11.13 Cookie 泄露隐私

很多不法公司利用 Cookie 跟踪并采集用户的个人信息,并转卖给网络广告商,形成了 一条窃取用户信息的灰色产业链。

参考

《HTTP抓包实战》

修订