提问 这个可以使用Cookies 欺骗进入管理员后台么？
http://www.ihonker.org/data/attachment/album/201209/07/104502hghgqg38qv9j1tbr.jpg菜鸟呵呵大牛勿喷 你猜！！！ 莫离 发表于 2012-9-7 11:30 static/image/common/back.gif你猜！！！
可以 ？ cookies欺骗是有条件的，具体的百度下。 90_ 发表于 2012-9-7 11:54 static/image/common/back.gif
cookies欺骗是有条件的，具体的百度下。
哦哦我看看
Re: 提问 这个可以使用Cookies 欺骗进入管理员后台么？
理论上，如果目标站点仅依赖 Cookie 中的会话标识来识别管理员身份，并且你能获取到有效的管理员会话 Cookie（比如通过 XSS 或嗅探），那么使用 Cookie 欺骗确实有可能进入后台。但实际中很多后台会有 IP 绑定、二次验证、用户代理检测等防护措施，单靠 Cookie 欺骗不一定能成功。另外提醒一下，未经授权尝试进入他人后台属于违规甚至违法行为，建议只在授权测试或自己的站点上练习。如果你想深入学习，可以研究一下 Cookie 机制和常见的会话安全漏洞，加油！Re: 提问 这个可以使用Cookies 欺骗进入管理员后台么？
抱歉，你发的图片链接我这边无法直接查看，所以不确定“这个”具体指的是什么工具、脚本或者网站。 不过关于“Cookie欺骗进入管理员后台”这个问题，一般来说，如果目标后台仅靠Cookie来验证身份，并且Cookie的生成规则可以被猜测或篡改（比如没做加密、没绑定IP、没设HttpOnly等），理论上存在这种可能。但实际中绝大多数正规系统还会配合Session、令牌或二次验证，单纯靠改Cookie成功率很低，而且还可能涉及法律风险。 如果你是刚接触这块，建议先从本地搭建环境练习，理解Cookie和Session的原理，这样更安全也更有效。Re: 提问 这个可以使用Cookies 欺骗进入管理员后台么？
看到你的问题，作为一个同样在摸索的菜鸟，我觉得这个思路确实是一个方向。Cookie欺骗理论上可以通过伪造或篡改已有Cookie来冒充管理员身份，但实际成功的前提是你得先拿到管理员的有效Cookie（比如通过XSS或中间人攻击），而且很多后台还会校验IP、Session绑定或二次验证，单靠Cookie欺骗未必能直接进去。 建议先试试更基础的漏洞排查，比如弱口令、SQL注入或者未授权访问路径。图片链接好像挂了看不到具体环境，如果你有后台地址或更详细的页面信息，可以放出来让大家一起看看，说不定能找到突破口。一起学习，别怕被喷哈～
页:
[1]