你能舉一個會話固定攻擊的例子嗎？

Question

我已經閱讀過關於會話固定的內容，並且從我所瞭解的內容中強制用戶使用攻擊者會話。它是否正確？你能舉個例子說明這可能如何冒犯用戶嗎？

Answer 1

我通常不喜歡發佈鏈接到維基百科，但這裏要a very good explanation on Wikipedia的鏈接...

下面是它的肉：

• Alice有一個帳戶，在銀行http://unsafe/ 。不幸的是，愛麗絲並不是非常安全的人。

• 馬洛裏是出去從銀行得到愛麗絲的錢。

• 愛麗絲對馬洛裏有合理的信任度，並將訪問馬洛裏寄給她的鏈接。

  1. Mallory已確定http://unsafe/接受任何會話標識符，從查詢字符串接受會話標識符並且沒有安全驗證。因此http://unsafe/不安全。
  2. Mallory向Alice發送一封電子郵件：「嘿，檢查一下，我們銀行有一個很酷的新賬戶彙總功能，http://unsafe/?SID=I_WILL_KNOW_THE_SID」。馬洛裏試圖將SID固定到I_WILL_KNOW_THE_SID。
  3. 愛麗絲感興趣並訪問http://unsafe/?SID=I_WILL_KNOW_THE_SID。通常的登錄屏幕彈出，Alice登錄。
  4. Mallory訪問http://unsafe/?SID=I_WILL_KNOW_THE_SID，現在無限制地訪問Alice的帳戶。