最近，Cookies是网站保存在电脑上的文本文件，备受关注，很多读者也对其感兴趣。现在，我想列出最新消息，Cookies是网站保存在计算机上的文本文件。
据安全研究人员称，Internet Explorer中未修补的漏洞使攻击者能够通过cookie窃取各种网站的登录凭据。
攻击者可以利用Internet Explorer的漏洞从用户的计算机中窃取Cookie，然后利用保存的信息访问用户的数据。研究人员罗萨里奥瓦洛塔在5月20日阿姆斯特丹举行的黑客安全会议上展示了这种利用方法。
Cookies是网站保存在计算机上的文本文件，其中包含用户活动的信息，如登录凭据、购物车内容或用户最近访问的网站。
攻击者必须猜测用户的帐户用户名，但可以使用高级点击劫持技术来找到密码。点击劫持发生在用户被诱骗点击看似无害但旨在窃取信息的按钮或链接时。根据他5月23日在Tentacolo Viola博客上发表的一篇文章，“cookiejackjacking”攻击违反了IE的跨区域交互策略，利用了所有版本的Internet Explorer中的零日漏洞，可以在所有版本的Windows中使用。
“任何饼干。任何网站。不好，”瓦洛塔写道。被盗的Cookie可用于将恶意软件下载到用户的计算机或登录到用户的帐户。概念验证的对象是脸书、推特和谷歌邮件Cookies，但瓦洛塔表示，任何网站都可能成为攻击目标。
瓦洛塔创造了一个游戏，在一个新的互联网浏览器窗口中打开，以说明他的“烹饪劫持”技术。当用户点击并拖动一个对象玩游戏时，真正发生的是打开cookie文件，并选择和复制文件的内容。通过这种方式，攻击者可以从用户在此网络会话中访问的任何站点拦截cookie。为了使攻击生效，攻击者需要知道目标使用的Windows操作系统的版本，因为cookie存储在不同的位置。
瓦洛塔说，他把测试用例放在脸书身上，得到了80个响应。
Internet Explorer使用“安全区域”根据信任级别对网站进行分组，并防止来自不同区域的内容相互交互。用户认为安全的网站(被分配到信任度较高的区域)不应该与信任度较低的网站共享信息。Valotta写道，当使用嵌入恶意文件的IFrame将Cookie文件加载到浏览器中时，违反了跨区域策略，因为“互联网页面正在访问本地文件”。
仅仅在IFrame中显示cookie文件的内容是不够的，因为Internet Explorer不允许网站使用JavaScript访问数据。这就是为什么瓦洛塔创建游戏来引诱用户将游戏内容(实际上是cookie内容)拖放到“攻击者控制的HTML元素”中的原因。
瓦洛塔告诉《登记簿》:“这对攻击者来说很复杂，但对受害者来说就不复杂了。
在发起成功的攻击之前，此人需要获得的东西数量使其对用户而言是中等风险。考虑到许多恶意攻击都涉及诱导用户放弃用户名，并且一些流氓门户网站在提供定制有效载荷之前已经检查了受害者正在运行的操作系统，“障碍”不会减缓任何对使用该技术感兴趣的分子。瓦洛塔还指出，当从远程服务器获取图像或其他资源时，Internet Explorer会自动以纯文本形式返回用户名。攻击者只需要一个脚本来“嗅探”用户名。
微软发言人告诉eWEEK，微软已经意识到这个问题，并将在即将到来的更新中引入补丁。