Les cookies contaminés

Processus d’empoisonnement de cookies : représente le fait qu’un attaquant envoie un cookie invalide ou défectueux à un serveur permettant de modifier le cookie sein que le serveur a précédemment reçu. En particulier, les langages de script comme JavaScript et JScript sont généralement autorisés à accéder aux valeurs des cookies et sont capables d'envoyer des valeurs arbitraires à n'importe quel serveur sur Internet. Cette capacité des scripts est utilisée à partir de sites Web permettant aux utilisateurs de poster des contenus HTML que d'autres utilisateurs peuvent voir.

Un attaquant intervenant sur le site poste un lien sortant de type Html par l’intermédiaire de la rédaction de commentaires visibles par tous les utilisateurs du  site. Ainsi, lorsqu’un utilisateur clique sur le lien, l’attaquant reçoit la liste de cookies de l’utilisateur actifs pour la page.  Cependant même si certains attaquants arrivent à exploiter cette faille, dans la plupart des cas les sites web stockent seulement un identifiant de session à numéro unique généré de manière aléatoire tout en stockant le reste des informations sur un
serveur. Ce qui permet donc d’éliminer l’empoisonnement de cookies.