• XSS.stack #1 – первый литературный журнал от юзеров форума

Ограничение длины куки

Отслеживать
instr0ne

instr0ne

RAID-массив
Пользователь
Регистрация
17.05.2015
Сообщения
50
Реакции
1
Недавно задумался: "А что если непрерывно получать куки от сайта?".
В связи с этим решил провести небольшой эксперимент, и получаю новые куки от одного сайта постоянно. Длинна уже увеличилась на 2 байта.
Хочу узнать 2 вещи:
1) Что произойдет, если превысить максимальную длину кук?
2) Какая максимальная длина кук установлена на сервере?
Если кто-то может дать инфу со своих серверов - буду благодарен :)
 
Не совсем понимаю суть эксперимента. Длина кук обычно жестко установлена в настройках cms к которой вы обращаетесь. Да и не могут они быть слишком длинные. В куках обычно используется алгоритм md5 или аналогичный. Где хэш всегда имеет одну и ту же длину. Поэтому если получать куку 100 000 раз она от этого особенно не увеличится.
 
Не совсем понимаю суть эксперимента. Длина кук обычно жестко установлена в настройках cms к которой вы обращаетесь. Да и не могут они быть слишком длинные. В куках обычно используется алгоритм md5 или аналогичный. Где хэш всегда имеет одну и ту же длину. Поэтому если получать куку 100 000 раз она от этого особенно не увеличится.
Суть эксперимента - забить БД с куками, и посмотреть на реакцию сервера (падение/лаги итд). Далее посмотреть на реакцию админа сервера :).
То есть длина не изменится, если забить всю базу?
 
Вопрос какой-то очень абстрактный вида "как взломать сайт?".
Существует множество CMS, система кукисов в которых очень разнятся.

Хочу узнать 2 вещи:
1) Что произойдет, если превысить максимальную длину кук?
И как же вы собираетесь превысить максимальную длину кук?
2) Какая максимальная длина кук установлена на сервере?
Второй абстрактный вопрос, на который однозначно хрен ответишь. Вообще в стандартных серверах есть ограничение размера куки в 4 кб.
 
TrueMind
Превышение максимальной длины - для случаев, где предусмотрена возможность забивания бд с кукисами.
Чем разнятся? Мне кажется, что куки генерируются, проверяются на соответствие с бд и выдаются. Конечно процесс может отличаться в разных CMS, но не сильно...
 
При чем тут длинна кука к забиванию бд, это две абсолютно разные вещи.
Мне кажется вы плохо представляете то, о чем спрашиваете тут.
 
TrueMind
Попробую переформулировать мысли.
Есть сайт, который выдаёт куки каждому посетителю. Он генерирует новые куки каждому новому пользователю, который заходит на сайт. Куки хранятся в некой БД. Тут и зарождается первая идея: "А что если постоянно заходить, как новый пользователь?". Из этой идеи следует, что рано или поздно сайт не сможет сгенерировать новые кукисы для нового пользователя.
Первый кейс:
Что произойдет, когда кукисы закончатся?
Вытекающий из первого кейса, второй кейс:
Если где-то предусмотрен первый кейс, то куки могут увеличиваться в длине.
До какой длины они увеличатся максимум?

PS Это такой теоретический "вектор атаки".
 
БД не засрется. Дело в том что каждая кука заменяется новой для одного и того же пользователя. т.е. в ячейку с данными при каждом обращении вписывается новая кука. Но она не плодится. Просто на одно и то же место вписывается.
 
Ar3s
Я имел в виду куки, которые даются без аутентификации. В некоторых случаях, неспособность клиента принять такие куки приводит к циклической перезагрузке страницы. После того, как посмотрел на несколько таких сайтов - зародилась идея, описанная в топике.
 
Покажи примеры сайтов...А мы глянем.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
instr0ne
на сервере вряд ли хранятся какие-то куки, а скорее, данные сессии. Занимают они ничтожно мало, и, как правило, удаляются спустя какое-то время.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх