Qualquer cookie passado pelo proxy pode ser considerado exposto. Este é basicamente qualquer cookie associado a qualquer solicitação (página, imagem, etc.) ou envio (formulários, etc.) do seu navegador.
Existem alguns truques para que os navegadores transmitam cookies não relacionados. A página do MDN em Cookies HTTP fornece um exemplo originalmente da Wikipedia:
Cross-site request forgery (CSRF)
Wikipedia mentions a good example for CSRF. In this situation, someone includes an image that isn’t really an image (for example in an unfiltered chat or forum), instead it really is a request to your bank’s server to withdraw money:
<img src="http://bank.example.com/withdraw?account=bob&amount=1000000&for=mallory">
Now,ifyouareloggedintoyourbankaccountandyourcookiesarestillvalid(andthereisnoothervalidation),youwilltransfermoneyassoonasyouloadtheHTMLthatcontainsthisimage.
Aoadivinharsitescomuns,seriapossívelqueumapáginausasseessatécnicaparafazercomqueonavegadorenviasse,juntocomasolicitação,umcookiecontendoumachavedesessãoativa,mesmoqueoconteúdosolicitadofosseinválido.Oproxypoderiaentãopegarocookieefazerusodele.
OHTTPSpodeajudaraatenuartudoisso,masissodependedecomooproxyespecíficofunciona.Proxiespodemrealizarataques MITM ao substituir o certificado SSL por outro certificado confiável.
Os navegadores modernos oferecem a possibilidade de abrir uma janela ou guia de "privacidade" que se comporta como se não existissem cookies anteriores (entre outras coisas). Nenhum de seus cookies pré-existentes é compartilhado com a janela privada.