会话劫持防范探析.docxVIP

目录Session会话劫持 2模拟会话劫持 2防范措施 3(1)设置httponly(2)session+token验证(3)CAS校验Session会话劫持会话标识是随机数据的唯一字符串,一般来说由数字和字符组成,这个字符串由web应用生成并通过cookie的方式发送给用户。在会话标识被发送之后,每个用户发出的请求都在其它请求中包含了该应用发送给他的会话标识。通过使用会话标识,web应用能够识别不同的用户,区分并发的请求和及时追踪用户。会话标识是首要的攻击目标,因为成功的捕获并重演会话标识可以为攻击者提供易受攻击web应用的当即认证。根据窃取到的ID所属用户的访问权限,攻击者可以像普通用户,甚至是特权用户一样登录网站,并访问各种隐私数据模拟会话劫持我们正常地登录一个网站，登录的用户名是admin，记录好登录后的JSESSIONID我们打开另一个浏览器Firefox，我们尝试访问一个私密链接：http://localhost/puzzlemall/private/viewprofile.jsp，这时浏览器会提示我们登录。这说明这个链接需要登录以后才能观看打开WebScrab并开启Proxy中的“Interceptrequests”功能，并把Firefox的代理设置成WebScrab的IP和端口（8008），然后再次访问这个私密链接，这时WebScrab会截获这个请求，然后修改JSE