在上一篇关于cookies欺骗的随笔中，提到的解决方案是把密码MD5加密之后存入cookies中，确实这种方法实现了效果，不过把密码留在客户端等待着去被破解不是一个合适的方法，在此也感谢 @老牛吃肉 以及各位小伙伴们的热烈讨论。在这里改写了一下方案，记录一下。
废话不多说直接上代码：
先写一个DES加密类，可以直接拿走用，所以虽然是写DEMO也给单独拿出来了。
using System;
using System.Data;
using System.Web.Security;
using System.Security.Cryptography;
using System.Text;
using System.IO; /// <summary>
/// DES 的摘要说明
/// </summary>
public class DES
{
public DES()
{} /// <summary>
/// 加密
/// </summary>
/// <param name="Text"></param>
/// <param name="sKey"></param>
/// <returns></returns>
public static string Encrypt(string Text, string sKey)
{
DESCryptoServiceProvider provider = new DESCryptoServiceProvider();
byte[] bytes = Encoding.Default.GetBytes(Text);
provider.Key = Encoding.ASCII.GetBytes(FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(, ));
provider.IV = Encoding.ASCII.GetBytes(FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(, ));
MemoryStream stream = new MemoryStream();
CryptoStream stream2 = new CryptoStream(stream, provider.CreateEncryptor(), CryptoStreamMode.Write);
stream2.Write(bytes, , bytes.Length);
stream2.FlushFinalBlock();
StringBuilder builder = new StringBuilder();
foreach (byte num in stream.ToArray())
{
builder.AppendFormat("{0:X2}", num);
}
return builder.ToString();
} /// <summary>
/// 以默认密钥加密
/// </summary>
/// <param name="Text"></param>
/// <returns></returns>
public static string Encrypt(string Text)
{
return Encrypt(Text, "http://www.cnblogs.com/webconfig");
} /// <summary>
/// 解密
/// </summary>
/// <param name="Text"></param>
/// <param name="sKey"></param>
/// <returns></returns>
public static string Decrypt(string Text, string sKey)
{
DESCryptoServiceProvider provider = new DESCryptoServiceProvider();
int num = Text.Length / ;
byte[] buffer = new byte[num];
for (int i = ; i < num; i++)
{
int num3 = Convert.ToInt32(Text.Substring(i * , ), 0x10);
buffer[i] = (byte)num3;
}
provider.Key = Encoding.ASCII.GetBytes(FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(, ));
provider.IV = Encoding.ASCII.GetBytes(FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(, ));
MemoryStream stream = new MemoryStream();
CryptoStream stream2 = new CryptoStream(stream, provider.CreateDecryptor(), CryptoStreamMode.Write);
stream2.Write(buffer, , buffer.Length);
stream2.FlushFinalBlock();
return Encoding.Default.GetString(stream.ToArray());
} /// <summary>
/// 以默认密钥解密
/// </summary>
/// <param name="Text"></param>
/// <returns></returns>
public static string Decrypt(string Text)
{
return Decrypt(Text, "http://www.cnblogs.com/webconfig");
}
}
Login
protected void Page_Load(object sender, EventArgs e)
{
//为了方便演示，每次加载登录页面“归零”
Response.Cookies["uid"].Value = "";
}
protected void Button1_Click(object sender, EventArgs e)
{
//验证步骤略过，假设用户通过验证并且得到如下信息： int uid = ; //用户唯一ID
string username = "admin"; //用户名
string userpwd = ""; //用户密码 string uidstr = DES.Encrypt(uid.ToString()); //接下来要保存用户登录状态
Response.Cookies["uid"].Value = uidstr; //跳转到登录后的页面
Response.Redirect("Main.aspx"); }
protected void Button2_Click(object sender, EventArgs e)
{
//未经验证直接进入Main.aspx
Response.Redirect("Main.aspx");
}
Main
protected void Page_Load(object sender, EventArgs e)
{
CheckLogin();
} private void CheckLogin()
{ if (Request.Cookies["uid"] != null && Request.Cookies["uid"].Value != "") //判断cookies是否存在
{
int uid = ;
try
{
uid = int.Parse(DES.Decrypt(Request.Cookies["uid"].Value));
}
catch //捕获 cookies参数错误：非正确的 DES加密格式 或者解密后类型无法转换为int
{
Response.Write("您尚未登陆，<a href='login.aspx'>点此登录</a>");
return;
} if (GetUserInfo(uid, "") != "") //判断UID 是否存在
{
Response.Write(GetUserInfo(uid, "username") + "已登录");
}
else
{
Response.Write("您尚未登陆，<a href='login.aspx'>点此登录</a>");
}
}
else
{
Response.Write("您尚未登陆，<a href='login.aspx'>点此登录</a>");
}
} /// <summary>
/// 模拟一个获取用户信息的方法
/// 然而实际操作中需要通过ID查询数据库来获取用户信息
/// 这里为了方便演示就直接return固定的值了
/// </summary>
/// <param name="uid"></param>
/// <param name="key"></param>
/// <returns></returns>
private string GetUserInfo(int uid, string key)
{
if (uid == ) //这里只设置uid为1的用户，其他的UID的用户不存在
{
switch (key)
{
case "username": return "admin";
case "password": return "";
default: return "null";
}
}
else
{
return "";
}
}
最后来看测试效果：
UID是加密过的字符串，如果用户想用通过修改cookies的方法，那么他需要满足一下两个条件
1，猜中其他用户的UID
2，猜中网站DES加密的密钥
最后通过UID和密钥进行加密，把cookies修改为加密后的字符串
不过，第一条可能可以猜中，但是第二条，一般情况下密钥管理的好的话是不会有太大问题的。
本例DEMO：http://files.cnblogs.com/webconfig/Cookies%E6%AC%BA%E9%AA%972.rar
本文出自 低调码农的笔记簿http://www.cnblogs.com/webconfig/p/3624831.html 转载请注明出处，如有谬误不当之处，欢迎指正拍砖，不胜感谢！！