设为首页
收藏本站
开启辅助访问
切换到窄版
登录
立即注册
中问网首页
我的收藏
站长博客
搜索
搜索
本版
帖子
用户
第一问答网
»
论坛
›
中问网
›
问答
›
Session固定和Session劫持攻击成功之后又能怎么样? ...
返回列表
发新帖
Session固定和Session劫持攻击成功之后又能怎么样?
[复制链接]
11
|
5
|
2021-1-27 05:15:04
|
显示全部楼层
|
阅读模式
谁能解释下Session固定和Session劫持之后攻击者能做些什么东西?
如果系统中没有采用session来做权限校验,劫持了session是不是也没什么作用?
还是说通过session劫持可以冒名访问不能访问的网站?
顺便能说下session固定攻击的防御方案吗?如果我针对每次请求都做session重建这样岂不是影响了在这之前的链接?
分 -->
回复
使用道具
举报
千问
|
2021-1-27 05:15:04
|
显示全部楼层
系统接入了单点,如果变更sessionid会导致请求被重定向到登陆,此时请求又会被浏览器的同源策略禁止,而且这样每次都走单点对单点服务的压力也很大,有没有人有好的解决办法。
回复
使用道具
举报
千问
|
2021-1-27 05:15:04
|
显示全部楼层
session是检验手段之一,如果你系统没有用session检验,那前端也不会发session到服务器,那也谈不上劫持了。
劫持session成功了我的理解就是可以冒充某个user访问,防御的话一般https的传输内容本身就是加密的,有防御作用,其他方法的话,我知道的有非对称加密比如的JWT的方法,不过这需要在客户端先配置一个私钥,这种一般运用于企业级应用里的,一般没法用在个人用户上。
回复
使用道具
举报
千问
|
2021-1-27 05:15:04
|
显示全部楼层
同源策略是针对js的吧,如果只是在浏览器地址栏里跳转的话,跟同源策略没关系的。
我公司用的单点登录是基于SAML的。
回复
使用道具
举报
千问
|
2021-1-27 05:15:04
|
显示全部楼层
1、session固定是攻击者提前给你创建好了一个sessionid,然后引导你去登录,应对这种攻击的办法是登录成功的时候,重置sessionid即可。这样在用户登录成功之后,攻击者设置的sessionid就没有意义了。
2、session劫持,其实这个你需要解决的应该是xss,设置Cookie的HttpOnly为true,在后端做同源检测等。如果攻击者能够获取到你的sessionid,那不管你sessionid怎么变,即使你每次变换也没用。所以你要做的是如何让攻击者获取不到sessionid,而不是每次都改变它。为了防止通过网络拦截获取,你也可以使用https证书加密。
每次请求都做session重建,我就呵呵了,那这还要session干什么?
没用session检测,当然所有基于session的攻击没有意义。但是不用session的话,又有什么办法呢?无非几种,url带参数、隐藏域或者js中保存token、请求头返回token等手段,其实最终的实现原理都一样,换汤不换药而已。至少在这几种实现方式中,通过cookie保存sessionid,服务器端实现session的方式还是相对更安全的。至少cookie本身给了我们一些安全性的设置,例如httponly,同源策略等。
回复
使用道具
举报
千问
|
2021-1-27 05:15:04
|
显示全部楼层
引用3楼鸣鸣Amadues的回复:
同源策略是针对js的吧,如果只是在浏览器地址栏里跳转的话,跟同源策略没关系的。
我公司用的单点登录是基于SAML的。
我记得F12报错有个状态是SCP相关的
回复
使用道具
举报
返回列表
发新帖
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
|
立即注册
本版积分规则
发表回复
回帖后跳转到最后一页
千问
主题
0
回帖
4882万
积分
论坛元老
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
积分
48824836
加好友
发消息
回复楼主
返回列表
问答
热门排行
1
肠胃不佳,心悸,神经质,头晕,睡眠少,会
2
肛周脓肿破了,流出很多血和脓水,该怎么办
3
胸里长个包按住不会滑动是怎么回事
4
你好我阴茎最近不知道怎么了很细
5
怎么才能让头不左右摇晃,让腿不疼。
6
我眼睛上下皮肤微红肿,有时会痒,还有兑皮
7
一天可以按摩2次吗?
8
我有3个多月没来例假了。也没有啥不适,请问这证
9
我昨天开始心老是间接一下一下心慌是什么回
10
我上了差不多一年的曼月乐环,怎么还是出血呢
11
宝九个月,拉了一个多礼拜了,大便有时拉的
12
我是脸部的u型区起的痘下巴两边请问是怎么
13
一时冲动和男朋友发生了性爱,但我很快就阻止了他
14
卵泡是1.8·2.0的情况下,啥时候排出
15
我下个星期要拔牙了,我昨天刚补完牙,非常酸疼,
16
我想问,我叔叔是乒乓球教练,今年68岁,昨晚在
17
白醋可以直接洗脸吗?有什么作用?
18
后天产期彩超的数据是否正常胎儿双顶径8
19
宝宝上次做了右边疝气手术,现在左边也需要
20
大概一个月前,摩托车烟筒烫伤后,涂了些药,伤口
21
请问痛经厉害用什么中药??谢谢
22
我以怀孕5个月了。今天小便的时候有一点点
23
孕妇早上吃什么对宝宝发育有帮助?
24
我以前有乳腺增生结节,昨天发现右乳用手挤
25
这个月月经后和男友那个后吃了金毓婷大约一
26
激光打完痣在室外用创可贴挡住伤口,可以防
27
心脏不舒服右后背酸痛怎么回事
28
见少量低至中幅8.5-9.5C/S,节律
29
大庆彤名整形
30
属于油性皮肤,冒油很厉害,时不时长些小痘痘且毛
31
本人32岁.身高1.55.体重40公斤偏
32
我19岁一男生昨天刚刮完阴毛但是现在
33
尿频输了8天的液了也没效果
34
我最近精神方面有问题!总是胡思乱想?怎么
35
7个月的小孩发烧到39度怎么办
36
马上两岁了,这几天反复发烧,39度,怎么
37
一般月精那天后排卵那几天好
38
我的脸上因为吃了一些医生开的治腰骨疼的药
39
你好我出门俄然迷失方向会是什么原因造
40
我的皮肤该怎样治疗?
41
怀孕5周未见胎体反射会不会有什么影响?
42
孩子37.5度,需要喝什么药啊
43
下体根部两边痒。挠了之后还起小疙瘩!该怎么办
44
晕菜了,按结核治了半个月,结果为不能肯定
45
我是个高龄孕妇4三岁,现怀孕有四个多月了
46
由于胃不消化吃了10天吗丁啉,今天突然
47
拉痢疾怎么办现在怎么能先控制
48
宝宝脸上痒能搽宝宝康吗,还有拉肚子怎么办
49
小时候一直流鼻血后来治疗好点了可最近
50
我头晕已经20多天了。吃盐酸氟桂利嗪胶囊吃了1
51
月经不调近一年,都是来两个月停两个月。近两个月
52
女28岁来自深圳,每次太劳
53
四十六岁可以生孩子吗?应注意什么?
54
下面很痒有豆豆怎么回事
55
他没有射精。只是有点遗精出来。但是没有弄
56
已经24岁,待嫁,但乳房一点都没发育,平
57
急性心肌梗死选择介入治疗后在日..
58
结婚5年多了,备孕了一年不见怀孕,我们都比较着急
59
小时候开囊肿留下的凹陷小疤手术修复有必要
60
我儿子太胖了2岁40斤
61
戴医生您好我吃了碘131,效果不好FT36
62
为什么我每次吃完饭都会恶心想吐,然后喉咙
63
用热水覆阴茎可以吗?
64
阴道分泌物检测报告:清洁度3乳酸杆菌偶见念珠菌
65
这近两个月不知道为什么左鼻孔里总是痒痒的,想打
66
急切的想知道如何快速的减轻病情
67
做爱不舒服,感觉麻木
68
我的阴茎有一点弯曲,向左偏,请问这对以后结婚会
69
怎么让阴毛长得多点有什么办法没有
70
我得了肾结石现在尿红尿或浑浊的尿液而且小
71
我家的宝宝五个月了腹泻20天左右刚开始是
72
经常拉肚子,爱放屁,特别是在冬天;很瘦,
73
您好~~~请问怎么从外观上鉴别包皮炎和梅
74
经常手淫,有好久一段时间了,
75
已经查出宫颈鳞形细胞癌II级,CT报告说
76
我前段时间骑摩托车摔跤了,现在好了后肉
77
地包天怎么矫正?有必要矫正吗?
78
阴茎表皮外流脓,大约20天前发病,不痛不痒小便
79
闭角型青光眼如何快速治疗痊愈,应用哪些药
80
我人流后5天还在流黑色的血
81
尖锐湿疣与HPV是一样的病吗?
82
请问联邦养巢裤对术后女性有用吗有没有害特
83
每天感觉就是睡不醒,昏昏沉沉的,睡眠正常
84
做爱射的很快但是性欲很强,平时有手淫
85
你好,我是一名兔唇患者,只是上唇有个缺口,在我
86
我以前有尿路感染的历史,是药酒轻松了,最
87
请问停药泼尼松多久后可以怀孕
88
我因高血压长期服卡托普利但最近感到效果不
89
两耳垂下方颈项部同时出现5mm左右大小不明球状
90
脸上鼻子两侧长有很多细小的痘痘(直径1毫米左右
91
交个女朋友.我问她以前有过没.她说有过2次..
92
亲子鉴定费用大约在多少钱之内
93
请问专家这个症状是不是龟头炎
94
我已打過四次派羅欣抗病毒,但因种种原因至今未愈
95
这是什么怎么治愈阿?
96
我怎么一个月来两次姨妈啊?上次是7号来的这
97
十五岁胸部中间向外突出检查说是鸡胸因