1

最近、Firebug を介して httponly に設定されている Cookie の値を変更できることに気付きました。私が読んだことから、 httponly フラグは、サポートしているブラウザーで、あらゆる種類のクライアント側スクリプトがそのような Cookie の値にアクセスしたり変更したりするのを防ぐ必要があります。ただし、Cookie を httponly として作成し、新しい Cookies パネルで Firebug 1.10 Beta を使用すると、実際にこの Cookie の値を変更できます。これは、リクエストを傍受したり、Cookie/Web サイト情報をフィードバックするスパイウェアをユーザーのコンピューターに侵入させたりした人は、セッション関連の Cookie を元のユーザーのものと一致するように変更することにより、ユーザーとしてログインしたサイトにアクセスできることを意味します。

数時間前にFirebug の Google グループでこれを提起しようとしましたが、まだ許可されていません。これが Firebug の重大なセキュリティ上の欠陥であると考える人は他にいますか? Chrome または IE 開発ツールにも存在する可能性がありますが、確認していません。

4

1 に答える 1

2

いいえ、これはセキュリティ上の欠陥ではないと思います。

Firebug は、他の Firefox UI と同様に、サイトの JavaScript コードよりも高い特権で実行されます。したがって、Cookie にアクセスできます。

また、誰かがスパイウェアをインストールしたり、リクエストを傍受したりすることができれば、いずれにせよすでに勝利しています。このようなフラグは、中間者 (MITM)攻撃やブラウザー外部のスパイウェア (ブラウザーのディレクトリを読み取るだけ) からユーザーを保護しません。

https を使用すると、MITM の影響を軽減できます。

于 2012-06-30T11:47:14.457 に答える