失效的身份认证和会话管理.pptVIP

失效的身份认证和会话管理  lever forget how to dream 目录 7身份认证和会话管理 O2失效的身份认证和会话管理 03如何检验漏洞 O4如何防范漏洞  lever forget how to dream 前言 失效的身份认证和会话管理,根据最新的 OWASP TOP10显示它 位列10大Web漏洞中的第二位。这意味着它是一个高度危险的漏洞存 在于互联网上的多数网站的应用程序中。  lever forget how to dream 身份认证和会话管理 在进一步解释这种危险的漏洞之前,让我们了解一下身份认证和 会话管理的基本知识 身份认证,最常见的是登录功能,往往是提交用户名和密码,在 安全性要求更高的情况下,有防止密码暴力破解的验证码,基于客户 端的证书,物理口令卡等等。 会话管理,HTTP本身是无状态的,利用会话管理机制来实现连 接识别。身份认证的结果往往是获得一个令牌,通常放在 cookie中 之后对用户身份的识别根据这个授权的令牌进行识别,而不需要每次 都要登陆  lever forget how to dream 失效的身份和会话管理 用户身份认证和会话管理是一个应用程序中最关键的过程,有缺 陷的设计会严重破坏这个过程。在开发Web应用程序时,开发人员往 往只关注Web应用程序所需的功能。由于这个原因,开发人员通常会 建立自定义的认证和会话管理方案。但要正确实现这些方案却很难 结果这些自定义的方案往往在如下方面存在漏洞:退出、密码管理、 超时、记住我、秘密问题、帐户更新等等。因为每一个实现都不同 要找出这些漏洞有时会很困难。 些存在此漏洞的例子 1、用户更改密码之前不验证用户,而是依靠会话的P地址; 2、没有会话超时限制; 3、用户忘记密码后,密码找回功能太过简单