Можно ли изменять cookie, хранящиеся браузером, десктопным приложением?

Question

[Karlo-Marlo]

Браузер хранит cookie, загруженные из Интернета, (например, cookie сессий) на жестком диске. Понятно, что их может поменять сайт, который их предоставил.

Вопрос:
Можно ли менять эти cookie приложением, запущенным на десктопе - параллельно с браузером?

Подвопросы:
1. Возможно ли это делать физически - нет ли запретов безопасности Windows? (Не будет ли Windows считать такое приложение вредоносным.)
2. Не препятствует ли этому браузер? Ведь это его база данных, а стороннее приложение будет менять его данные. Не проверяет ли браузер (Firefox, Chrome, IE и т.д.) целостность базы данных? Возможно ли изменение этих cookie во время работы браузера?
3. Должно ли такое приложение быть расширением браузера или оно может работать как отдельное от браузера приложение?

Примечание:
Физическое расположение cookies (для каждого браузера - разное):
Firefox
C:\Users\Username\AppData\Roaming\Mozilla\Firefox\Profiles\db2laujv.default\cookies.sqlite
Chrome
в папке C:\Users\Username\Local Settings\Application Data\Google\Chrome\User Data\Default
файлы Cookies и Login Data (непроверено)
Internet Explorer
в разных версиях по-разному, в частности C:\Users\Username\Cookies

Answer 1

[ILoveYAnny]

1. Да возможно, запретов нет.
2. Нет, ты можешь даже взять куки из одного браузера и поместить их в тот же браузер, но на другом компьютере. И сервер будет думать что ты это другой человек. Собственно говоря отчасти сессии для этого и придуманы, иначе можно было бы таким образом утягивать доступ не зная пароля ( Так кстати и делают некоторые ребята)
3. Нет не должно, скажу даже больше, в инете есть уже готовые решения для Гугла и для Фаирфокса, для гугла, если не изменяет память, называется Magic Wand, хотя могу ошибаться. Кстати, скажу даже что в разных браузерах почти одна и та же структура, они как правило иногда различается изменением колонок (те что были вертикальным стали горизонтальными, а те что были горизонтальными стали вертикальными)

Стоит добавить, что важная инфа чаще всего хранится в md5 за расшифровку, которого обещают нобелевку. Но вопрос был ведь в изменении данных ;)

Comments

[Karlo-Marlo]

Как я понял:

1. В целом ответ: никаких проблем со считыванием, изменением и даже созданием cookie программным путем проблем нет. Грамотный программист справится.

2. Сброс или замена данных сессий по инициативе сайта периодически происходит, поскольку именно такие приложения могут воровать данные сессий. При этом вводится по-новой пароль, и генерируются новые данные сессии. Злоумышленник, чтобы снова получить доступ к сайту, должен заново узнать данные сессии.
(А в Интернете данные cookie никак особо не перехватишь, поскольку чужим сайтам не дает считывать cookie ограничение same origin. Зашитое в браузере пользователя.)

Все-таки еще вопросы, если не затруднит:

1. Если не ошибаюсь, есть папки Windows, зарезервированные только для использования конкретных приложений. Другие приложения к ним доступа не имеют, если у них нет прав администратора. Если пользователь грамотный, то UAC у него включен.

То место, где хранятся cookie, по идее, как раз должно относиться к таким областям диска. Получается, что для изменения cookie всегда будет выдаваться сообщение, что, мол, программа хочет изменить ваш компьютер.

Так ли обстоят дела с правами администратора? Каждый раз кликать на системное сообщение для изменения cookie очень некошерно.

3. Пароли в хранилище cookie не хранятся. А где хранятся?

> скажу даже что в разных браузерах почти одна и та же структура,
> они как правило иногда различается изменением колонок (те что
> были вертикальным стали горизонтальными, а те что были
> горизонтальными стали вертикальными)

Что это за структура? Где можно почитать? Можно без подробностей, скажем так: по каким ключевым словами искать?

4. Есть ли возможность менять пароли таким же образом (приложением)?

(Расшифровка зашифрованных данных меня действительно не особо интересует - интересует изменение и/или создание новых данных.)

5. Что, кроме идентификаторов сессии, храниться в хранилище cookie?

Мне понятно, что через сеть парольная информация пересылается в виде:
hash(пароль + случайное число)
или
hash(hash(пароль) + случайное число).

Не вполне понятен принцип, как извлекается пароль, чтобы сгенерировать это число?

[ILoveYAnny]

Karlo-Marlo: Я тебе скажу так, если есть доступ к винде, то грамотный программист доберётся до данных без официального назначения прав.

Куки хранятся в скрытой папке Application Data, как правило к ней не каких прав не нужно, она просто скрыта (Через меню папки "Вид" ставишь отобразить скрытые файлы), для программ просто прописываешь путь. Если ухищрений с политиками безопасности нет, то без проблем всё. (А чаще всего в политики безопасности вообще не лезут).

Не каких сообщений вылазить не будет, это не системный файл а скажем так БД приложения.

В каждом браузере по разному структура организованна, найти информацию можно в Гугле или на официальных сайтах браузеров в документации. Чтони будеь типо - "структура cookies" первая ссылка - вуаля citforum.ru/internet/html/c_syntax_format.shtml , но там скорее синтаксис передаваемых заголовков в пакетах. МОжно поискать по аналогии - Как устроены cokies, пример cokies,

Пароли хранятся на сервере сайта (хотя зачастую даже на сервере хранится уже готовый md5 хеш), и у клиента в момент ввода. После ввода происходит необратимая функция хешировани по md5 алгоритму. И передаётся уже md5 хеш, который расшифровать не возможно (к сожалению для меня :d), собственно говоря сервер получая хеш сравнивает его со своим в базе данных, если всё ок то пускает его на сайт.

Подменить md5 хэш можно, однако когда сервер его сравнит со своим то получится ошибка и тебя не пустят.

Ты можешь хранить там, что угодно. Случайное число имеет понятие в криптографии - Соль. Соль вообще берётся с потолка,например 123456789 это солько, берётся хеш от пароль + соль, и хеш пересылается сервер, дальше идёт сравнение, то есть пароль не извлекается. Пароль в чистом виде хранится в большинстве случаев только в момент ввода.

Много вопросов уйдут, если вы почитаете, что такое хеш функция, как устроены куки, и какое применение хеш функции имеют место в куках

[SergeiSmirnov]

ILoveYAnny, а вы можете написать программу, которая генерировала бы куки с рандомной историей запросов в яндексе?