Session欺骗技术分析与防范措施.pdfVIP

inurl:admin/Session.asp直接

进入获取控制权限

先看管理员登录过程，登录文件是login.asp，关键代码如下：code

rece(trim(Request(code)),’,)

If

codeCStr(Session(CheckCode))

Then

Response.Write(script

languagejavascriptalert(请输入正确的！

);top.location.hreflogin.asp/script)

Response.End

end

if

上面代码是对

进行检测

namehtmlencode2(request.form(name))

pwd

htmlencode2(md5(request.form(pwd)))

loginipRequest.ServerVariab(

HTTP_X_FORWARDED_FOR)

if

loginip=

then

loginip

_

Request.ServerVariab(REMOTE_ADDR)

sqlselect

*

from

manageuser

where