Session Fixation 攻防实战（图）

Session Fixation 是一种利用漏洞定制 Session ID 的攻击方法。攻击者可通过伪造 Session ID 伪装成受害者来进行危害性行为，例如个人信息盗取、在线欺诈等，因此对于 Session Fixation 的攻击防范显得尤为重要。

为了防范 Session Fixation 攻击，我们可以遵循以下实际指南：

1. 在用户登录时使用随机 Session ID

• 登录时，系统应为每个用户生成一个随机的 Session ID，以确保攻击者无法使用固定的 Session ID 定制绕过登录认证，而是必须使用一个未知的 Session ID 来进行攻击。
• 在登录认证成功之后，Session ID 不能再被更改。

2. 在用户登出时终止 Session

• 当用户在系统中注销时，必须将 Session 终止并销毁，以确保该 Session ID 在系统中无法被重用于攻击。
• 为了避免 Session Fixation 的攻击，用户登录成功后，系统应仅为用户分配一个有效的会话。

示例1

• 攻击者此前已伪造过一个 Session ID，通过某种攻击途径让受害者打开这个 Session ID 相关的链接或页面。
• 受害者此前未登录过，当他输入了用户名和密码并登录成功后，该用户与原先的 Session ID 绑定在一起，攻击者便可以利用原先定制的 Session ID 访问用户账户并进行破坏性行为。

示例2

• 攻击者将自己的 Session ID 发送给受害者，并骗取其登录。此时，受害者与攻击者拥有相同的 Session ID。
• 攻击者利用拥有 Session ID 的特权在该应用程序中进行违规操作，因此受害者也会受到攻击者行动的影响。

综上所述，Session Fixation 是一种广泛存在于 Web 应用程序中的高危漏洞，因此在开发、部署及测试时，我们都需要时刻注意攻防方面的细节问题来确保应用程序的信息安全性。