Ho letto degli attacchi cookie cross-subdomain qui .
Una rapida panoramica di come funziona (da Wikipedia):
- Un sito web www.example.com distribuisce sottodomini a terze parti non attendibili
- Una di queste feste, Mallory, che ora controlla evil.example.com, attira Alice nel suo sito
- Una visita a evil.example.com imposta un cookie di sessione con il dominio .example.com nel browser di Alice
- Quando Alice visita www.example.com, questo cookie verrà inviato con la richiesta, come indicato dalle specifiche per i cookie, e Alice avrà la sessione specificata dal cookie di Mallory.
- Se Alice ora accede, Mallory può usare il suo account.
Stiamo creando un'app Web in cui i clienti avranno i propri sottodomini: subdomain.ourapp.com .
Ogni cliente sarà in grado di caricare file modello che possono contenere javascript (per l'interazione lato client).
Poiché javascript può essere usato per leggere / scrivere cookie, come possiamo prevenire l'attacco di fissazione della sessione sopra? Si noti che stiamo memorizzando solo l'ID di sessione nel cookie.
Siti come squarespace.com consentono anche agli utenti di inserire il proprio javascript nelle loro pagine sul proprio sottodominio. Dal momento che sarebbe quasi impossibile provare a filtrare le dichiarazioni javascript che impostano / leggono i cookie nei file modello caricati, come possiamo mitigare questo vettore di attacco?