Как узнать, кто трогал куки?

Question

[386DX]

В свете недавнего вопроса Можно ли отследить юзеров из ВК пришедших на сайт без их разрешения?

Есть вконтакте и фейсбук, после логина в которых создаются куки с возможным хранением ID пользователя.
Есть теоретические вредоносные сайты, которые через уязвимости в браузере могут украсть куки Вк и ФБ и узнать, какой конкретно человек посещал сайт.

Появилась мысль, что куки, это просто текстовые файлы, которых хранятся в папке кэша браузера.
Следовательно, можно найти какую-нибудь программу, которая следила бы за счтыванием кук с диска в момент посещения вредоносных сайтов и оповещала бы пользователя.

Хочется поставить точку в вечном вопросе, может ли владелец сайта узнать что пользователь ФБ и ВК посещал его сайт.

Собственно, разыскивается указанная программа, следящая за куками и IO дисков.

Cори если сбивчиво написал.

@xmdy

Answer 1

[386DX]

Извиняюсь, если неправильно задал вопрос. Мне нужен был ответ вроде этого
habrahabr.ru/post/228617

Answer 2

[FeNUMe]

В основных браузерах куки хранятся в SQLite бд, а не отдельными файлами. То есть в случае обычного вируса/трояна на компе, максимум можно отслеживать попытки доступа к этой бд. В случае вредоносного кода на сайте - вы никак не сможете отследить, потому что доступ к кукам будет через стандартные механизмы браузера и ничем от правомерного доступа отличатся не будет. Имхо, для отслеживания кто, когда и к каким кукам обращался нужно вносить изменения в код браузера, обычным аддоном это сделать не выйдет. Как по мне это бессмысленная затея: для борьбы с кражей кук через js давно придумали HTTP-only куки, а для борьбы с зловредами существуют антивирусы.

Comments

[386DX]

Он будет отличатся тем, что в 20.30, допустим, я не заходил на ФБ, а запись о чтении бд будет. На крайний случай я могу запустить чистую виртуалку со старой версией оперы, там куки текстовые.

[FeNUMe]

Уточните пожалуйста с чем именно вы хотите бороться таким странным способом? С атаками XSS/CSRF или с обычными троянами?

[386DX]

С атаками, естественно. "Уязвимости браузера" это я обобщенно написал. Да, и мне нужен монитор IO диска. а не антивирус.

[FeNUMe]

Тогда если вы разработчик используйте HTTP-only cookie и внедренный js вам будет не страшен. Если же вы просто пользователь и хотите защитить свои аккаунты на разных сервисах - просто не забывайте жать кнопку "Выход" после окончания работы с сервисом и используйте двухфакторную авторизацию, где это возможно.

Если все же хочется "странного", тогда действительно можете попытаться использовать браузер с куками в виде файлов и написать софт для отслеживания и анализа изменений в фс(inotify в линукс, FileSystemWatcher в виндовом .net). Готового посоветовать ничего не могу.

[386DX]

Я не просил вас спасать вселенную, я просто хочу увидеть своими глазами, как воруют куки (или убедится, что это невозможно). Защита, как таковая, мне не нужна.

[FeNUMe]

Похоже мы друг друга не поняли.
>>Хочется поставить точку в вечном вопросе, может ли владелец сайта узнать что пользователь ФБ и ВК посещал его сайт.
Да возможно, если использовать предоставляемое этими соцсетями API. Для вк читать тут https://vk.com/pages.php?o=-1&p=Open+API .

Answer 3

[Павел Селиванов]

Ставим точку:
- может, если ФБ и ВК предоставляют возможность размещать свои кнопки и отдают с них статистику владельцу сайта, причём не анонимную, а с именами пользователей
- моежт, если пользователь оставить на сайте комментарий пользуясь авторизацией через ФБ или ВК(оба предоставляют какой-то аналог OAuth)
- может, используя значение referer из HTTP-запроса. Это если пользователь перешёл на сайт из ВК или ФБ. Но имя пользователя он при этом не узнает.

Для параноиков рекомендую Ghostery, есть под лису и под хром.

Answer 4

[Myateznik]

Политика безопасности современных браузеров запрещает страницам одного домена получать Cookie данные другого домена. Определить, что пользователь ВК или ФБ посещал сайт можно серверным кодом считывая Referer заголовок запроса.

Есть 1 способ читать Cookie (не HTTP-only) другого домена , но он может быть уже исправлен. Если домены являются доменами 3-го уровня на пример: domain1.example.com и domain2.example.com, то и первый домен и второй получают доступ к Cookie данным домена example.com т.к. технически являются поддоменами домена example.com (технически один домен - один сайт). Хостинг провайдеры предоставляющие домен 3-го уровня могут просто при каждом обращении к серверу стирать Cookie данные для домена 2-го уровня в нашем примере домен 2-го уровня это example.com