大西瓜的杂货铺

From:http://www.cnblogs.com/shiyangxt/archive/2008/10/07/1305506.html

这些都是基础知识，不过有必要做深入了解。先简单介绍一下。

二者的定义：

当你在浏览网站的时候，WEB 服务器会先送一小小资料放在你的计算机上，Cookie 会帮你在网站上所打的文字或是一些选择，

都纪录下来。当下次你再光临同一个网站，WEB 服务器会先看看有没有它上次留下的 Cookie 资料，有的话，就会依据 Cookie

里的内容来判断使用者，送出特定的网页内容给你。 Cookie 的使用很普遍，许多有提供个人化服务的网站，都是利用 Cookie

来辨认使用者，以方便送出使用者量身定做的内容，像是 Web 接口的免费 email 网站，都要用到 Cookie。

阅读全文

From:空虚浪子

看了墨西哥同学（其实看不懂，刺帮忙翻译的）和刺的文章，不过我们主要关心该技术的利用。

sirdarckcat说，HTTP头的长度，在APACHE等web服务器是有一定的要求的，如果超出一定长度，会产生服务器错误。HTTP头里面，有cookie，有location，有host。。。如果我们可以控制其中一个（例如cookie），给用户植入大长度的cookie，就会出现用户访问该域下所有的请求，都带上大长度cookie，导致用户不管访问域名下的哪个文件，都会产生服务器错误，造成客户端无法访问。

HTTP头有很多字段，为什么非要提COOKIE插入大字段呢？

阅读全文

From: 云舒

摘要：SAML在国内介绍不多，这里简单描述一下。

WEB系统的登录一般基于cookie或者session（session底层还是需要cookie），在没有cookie的情况下比如WAP网站 则使用伪cookie方式或者伪session方式，这个我在以前的文章《从wap网站的认证授权到csrf的协议类比本质》中略微提到过。对于跨域的 SSO（single sign on）而言，虽然各系统具体实现各异，但是因为跨域不容易传输cookie所以和WAP类似，所以底层依然是伪cookie或者伪session或者类似 的变通方式。在这里我略微说一下SAML（Security Assertion Markup Language），SAML在国内似乎介绍不多，它是用来解决SSO问题的，本质上依旧是类似cookie和session，和传统的SSO相比并没有 很突出的优点。但是它毕竟是一个标准，得到了IBM，Google，Juniper等公司的支持，可以很通用，google apps就支持SAML认证。

阅读全文

From: xushaopei

徐工现在没事就xss，看来原来还真是埋没了。