《Web安全程序设计与实践》课件项目8.pptxVIP

项目8Session欺骗攻击

【项目描述】本项目对Session欺骗攻击和防护进行实训。本项目包含两个任务，首先利用项目3建立的用户登录功能网站，然后从登录后的浏览器中复制用户SessionID并实现Session欺骗攻击，使得未经登录而访问未经授权的资源。最后通过分析Session欺骗攻击的原理，实现四种防护措施并进行验证。通过本项目实训，可以解释和分析Session欺骗产生的原理及危害，能够应用多种方式进行Session欺骗攻击防护。

【知识储备】Session的工作原理在项目3已经简要介绍了Session的工作原理。用户登录之后，基于Session机制的服务器端会建立一个新的Session保存用户的状态和相关信息，并对每个Session创建一个标识符SessionID来标识用户身份，返回客户端并保存在浏览器的Cookie中。当用户继续访问网站其它网页时，浏览器会将SessionID发送到服务器端，服务器端则可以根据这个SessionID查询是否存在对应的Session内容，从而判断用户是否具有访问权限。

Session欺骗的原理攻击者使用Session欺骗可以获取与正常登录用户几乎相同的权限。从以上Session的工作原理可以发现，服务器端使用SessionID判断客户端的登录状态。因此，Session欺骗的方式就是可以把一个正常登录的SessionID放到一个未登录的浏览