Web 安全之不安全的会话管理

作者/分享人:汤青松
向 Ta 提问
安全爱好者,《PHP WEB安全开发实战》作者

安全会话管理相对 Owasp Top 10的漏洞来说是一个较为冷门的话题,因为即使存在不安全的会话管理也并不能直接证明系统存在安全漏洞;所以对于这类问题白帽子即使发现了也不会报告,而开发者或许并不知道这样设计存在安全隐患,或者认为没有出现漏洞的情况下不会被触发,所以也并不当回事。

会话维持是基于 Cookie 和 Session,浏览器请求时候会在 Header 中发送 Sessionid,这个 Sessionid 就是表名用户的身份令牌。

现在举个固定会话 ID 例子,假设张三发现 xxx 网站中存在一个 XSS 漏洞,并通过此 XSS 漏洞获取到了一个 Cookie 信息,于是攻击者就把这个 Cookie 替换到自己的浏览器当中,想来冒充此用户身份,但却这个 Cookie并没有登录账号,正要放弃利用的时候,发现账号被登录;那可能有什么原因呢?或许固定会话 ID 问题所导致的安全风险增加。

本场 Chat 主要内容:

  1. 会话可持续维持;
  2. 会话暴露风险;
  3. 固定会话 ID;
  4. Domian 有效性;
  5. 安全会话设计。
已有81人预订
预订达标
文章出炉
     
06月13日
06月27日
预订后,您将在06月27日之前获得一篇专享文章,您还将获得一张汤青松的读者圈Pass
请务必添加GitChat服务号以查看活动进度及获取活动通知。
退款保证:
• 06月16日前,预订人数未达标,您将获得全额退款。
• 作者未按时完成文章,您将获得全额退款。
你可能还喜欢
二叉树的原理推敲与动手种树
浅浅
谈谈 Java NIO
应书澜
程序员炒股:算法交易策略与建模思想
chen_h
MySQL 性能优化实战
奋斗
DevOps 工具链:在线报障的流程、系统设计和自改进体系的建设
常新居士
RabbitMQ 消息服务总结心得分享
IT小香猪
成长:浅谈从前端小工到工程师的三年转换
icepy
分布式锁原理探究
追梦
性能优化之 JVM 高级特性
码侠岛
提升:从枚举、进阶,到动态规划(Dynamic Programming)
zhen.guo
人脸识别的最新进展以及工业级大规模人脸识别实践探讨
AI科技大本营
人工智能挑战下,情商才是绝对优势!
Soyoger
Java NIO 框架 Netty 之美:粘包与半包问题
追梦
Dubbo 第一课:Dubbo 服务发布过程剖析
北风男
Java 基础之详解 Java 反射机制
王俊生
微信扫描登录