php cookie注入漏洞？

Question

我有一个网站，在一个页面上，它从用户计算机上读取一个cookie，并将其用作php代码中的变量，例如在echo状态中。

我目前并不是以任何方式清洗烹饪。

2个问题：

1. 有人能黑掉他们的饼干把东西放进我的php代码吗？
2. 如果是的话，我怎样才能防止这种情况发生？我怎么才能打扫它？

谢谢!

Answer 1

是的，可以很容易地利用这一点，这取决于它在代码中的用法。例如，您可以伪造整个请求，并为cookie提供任何所需的值。

如何防止这种情况取决于您期望cookie包含哪些值。您所需要做的就是确保cookie的值符合您的规范。如果不知道该规范是什么或如何使用该值，就没有什么可说的了。

Answer 2

是的，编辑client.You上的cookie非常容易，它应该像任何其他用户生成的输入那样处理cookie的值:不要信任它并验证它。

Answer 3

如果您只是echoing cookie，那么用户可能爆发的漏洞称为"XSS“，表示跨站点脚本。基本上，他会在网站中插入<script>标签来执行javascript。

您可以通过使用php中的标签函数来清除cookie中的标记来防止这一点。

如果以其他方式使用cookie，可能会出现新的安全问题，请指定是否存在这种情况。