PHP में कुकी सेट करते समय एक विशिष्ट त्रुटि

मैं COOKIE मान सेट करते समय एक विशेषता साझा करना चाहता हूं, जिसे अक्सर वेब डेवलपर्स द्वारा भुला दिया जाता है।
2009-2011 के लिए कमजोरियों के लिए वेब अनुप्रयोगों पर शोध करने के मेरे अभ्यास में, यह त्रुटि PHP में लिखे गए 87% वेब अनुप्रयोगों में हुई।
किसी तरह इस संकेतक को कम करने के लिए, मैंने इस पाठ को लिखने का फैसला किया।

यह httpOnly ध्वज के बारे में भी नहीं है, हालांकि इसका उपयोग कम महत्वपूर्ण और अनिवार्य नहीं है।

एक कोड उदाहरण पर विचार करें:

<?php setcookie('foo','bar1'); header('Set-cookie: foo1=bar11'); ?> 

यह कोड स्पष्ट रूप से foo और foo1 नामों से दो कुकी मूल्यों को निर्धारित करता है।
अब मुख्य प्रश्न यह है कि किस डोमेन के लिए और किस झंडे के साथ ?

आइए हम मूल स्रोत की ओर मुड़ें - वेब सर्वर की HTTP प्रतिक्रिया:


जैसा कि आप देख सकते हैं, सर्वर डोमेन के बारे में कुछ नहीं कहता है, न ही झंडे के बारे में।
फिर प्रश्न दूसरे विमान में जाता है - कौन सा डोमेन और झंडे ब्राउज़र ऐसे हेडर के लिए चुनेंगे?

Chrome (वर्तमान संस्करण 18.0.1025.168) के मामले में, सब कुछ अच्छे से अधिक होगा और डोमेन बिल्कुल वही होगा जिसमें से अनुरोध आया था। मेरे उदाहरण में, foo.bar.com:


अगर सब कुछ इतना अच्छा था, तो शायद यहाँ कोई पाठ नहीं होगा ...

आइए इंटरनेट एक्सप्लोरर की जांच करें। चूँकि मैं उसके लिए कुकी देखने के लिए सुंदर प्लगइन्स नहीं जानता, इसलिए डोमेन foo.com के लिए कुकीज़ नीचे रख दूं और डोमेन bar.foo.com से document.cookie प्रदर्शित करुँगा:


यह बहुत दुखद है। और दूसरी ओर मजेदार।
सर्वर की HTTP प्रतिक्रिया में प्राप्त होने पर
Set-cookie: foo=bar
Internet Explorer सभी उप डोमेन के लिए foo = bar सेट करता है, अर्थात् * .foo.com मेरे उदाहरण में बिना किसी झंडे के, जैसे httpOnly।

हमलावर, जिसकी भूमिका मुझे अक्सर ऑडिट करते समय निभानी पड़ती है, लक्ष्य मेजबान के किसी भी उपडोमेन पर XSS खोजने के लिए रहता है, जो अभ्यास में लागू करना बहुत आसान है।

लेकिन अन्य ब्राउज़रों के बारे में क्या?

फ़ायरफ़ॉक्स	12.0	केवल Http	वाइल्डकार्ड
सफारी	5.1.5	केवल Http	वाइल्डकार्ड
ओपेरा	11.62	केवल Http	वाइल्डकार्ड

इसलिए कंस्ट्रक्शन का इस्तेमाल कर रहे हैं

 setcookie('foo','bar1'); 

और

 header('Set-cookie: foo1=bar11'); 

यदि क्लाइंट इंटरनेट एक्सप्लोरर (8-9) का उपयोग करता है, तो आप कुकी को इस सब से सबडोमेन पर डालते हैं ।

यह याद रखना!