跨站点脚本- Cookie加密

Question

我正在开发一个客户端代理来对抗跨站点脚本攻击。来自浏览器的所有请求都将通过代理。我能够使用Referer头和其他东西将请求分类为本地请求或跨域请求。但是，我需要减少误报的数量。

为此，我将在响应中跟踪从web服务器发送的cookie，并在任何跨域请求中查找此cookie的一部分，即，我将只检查携带敏感信息的跨站点请求(cookie)。

但是，如果攻击者构造了一个HTTP响应，其中cookie被加密和泄漏，那么这个简单的想法就会失败。

例如,

cookie：

user=rahim;pass=asdf

黑客构造了一个请求

www.evil.com?name=mihar&pass=fdsa

攻击者只是简单地颠倒了cookie参数。攻击者有无数种方法可以玩弄cookie并欺骗进程。

我需要一个算法来检查这一点。不应允许cookie参数以任何形式传递。

Answer 1

你的任务是无望的。没有办法知道cookie的真正含义是什么。