------解决方案--------------------你所說的基本屬實,你看看這個
http://bbs.phpchina.com/thread-217757-1-1.html
------解决方案--------------------那得关键看这个加密是怎么个加密法了...
------解决方案--------------------所以才有“cookie欺骗”
------解决方案--------------------没错,这就是cookie欺骗,所以要小心被不良网站截获cookie。
qq有个好友印象的功能,我曾经抓包分析过,它的身份验证也是用cookie。然后找了个朋友,把他qq的cookie拷贝过来,模拟请求对别人进行好友印象评价。结果就这样成功了。这是几年前的事了,不知道现在它是否改了验证机制。
以前dvbbs也曝出过一个非常单纯的cookie验证漏洞。他直接把每个用户的所有信息,包括权限,就放在cookie中了,而且没加密,就那么简单的将用户id、密码、权限等打乱顺序排列了一下。然后只需要找到那个标识权限的字符,修改为管理员级别的,任何人都是管理员了。
------解决方案--------------------单纯靠cookie是要出问题的。