什麼是會話固定？

在網站中發現了許多不同類型的安全漏洞，其中一個有趣的漏洞稱為“會話修復”。會話固定是一個問題，攻擊者可以影響會話標識符，即用戶的會話 ID，然後使用它來訪問他們的帳戶。這種類型的漏洞有兩種工作方式，它可以讓攻擊者找到或設置另一個用戶的會話 ID。

如何執行會話固定攻擊

用戶的會話 ID 通常是網站身份驗證的關鍵部分，並且在許多情況下是唯一標識登錄特定用戶的數據。這樣做的問題在於，如果攻擊者可以設置或了解另一個用戶的會話 ID用戶，他們可以使用會話令牌，然後能夠充當用戶。

通常，這是通過誘使用戶單擊某種類型的網絡釣魚鏈接來完成的。鏈接本身是完全合法的，但包含一個設置指定會話 ID 的變量。如果用戶隨後使用會話 ID 登錄並且服務器在登錄時沒有為他們分配新的會話 ID，則攻擊者可以簡單地將他們的會話 ID 設置為相同並可以訪問受害者的帳戶。

攻擊者可以發現受害者會話 ID 的另一種方式是它是否出現在 URL 中。例如，如果攻擊者可以欺騙受害者向他們發送一個鏈接，並且其中包含受害者的會話 ID，則攻擊者可以使用會話 ID 訪問受害者的帳戶。在某些情況下，這可能完全是偶然發生的。例如，如果用戶複製帶有會話 ID 的 URL 並將其粘貼到朋友或論壇中，則任何點擊該鏈接的用戶都將使用該用戶的帳戶登錄。

會話固定修復

這個問題有幾個解決方案，與往常一樣，最好的解決方案是實施盡可能多的修復，作為縱深防禦策略的一部分。第一個解決方案是在用戶登錄時更改其會話 ID。這可以防止攻擊者影響已登錄用戶的會話 ID。您還可以將服務器配置為只接受它生成的會話 ID，並明確拒絕任何用戶提供的會話 ID。

該網站應配置為永遠不要在 URL 中放置任何敏感的用戶詳細信息，例如會話 ID，並且應將其放置在 GET 或 POST 請求參數中。這可以防止用戶意外洩露他們自己的會話 ID。通過同時使用會話 ID 和單獨的身份驗證令牌，您可以使攻擊者需要獲取的信息量加倍，並防止攻擊者訪問具有已知會話 ID 的會話。

單擊註銷按鈕時，用戶的所有有效會話 ID 都將失效，這一點至關重要。可以在每個請求上重新生成會話 ID，如果先前的會話 ID 無效，這也可以防止攻擊者使用已知的會話 ID。如果用戶公開他們自己的會話 ID，這種方法還可以顯著減少威脅窗口。

通過啟用多種這些方法，縱深防禦策略可以消除這個作為安全風險的問題。