你能给我一个会话固定攻击的例子吗？

Question

我读过有关会话固定的内容，据我了解，它强制用户使用攻击者的会话。它是否正确？你能举个例子来说明这会如何冒犯用户吗？

Answer 1

我通常不喜欢发布维基百科的链接，但这里有一个链接 维基百科上有很好的解释...

这是它的核心内容：

• 爱丽丝在银行有一个账户 http://不安全/. 。不幸的是，爱丽丝不太懂安全。

• 马洛里要去银行取爱丽丝的钱。

• Alice 对 Mallory 有一定程度的信任，并且会访问 Mallory 发送给她的链接。

  1. 马洛里已经确定 http://不安全/ 接受任何会话标识符，接受查询字符串中的会话标识符，并且没有安全验证。 http://不安全/ 因此是不安全的。
  2. Mallory 向 Alice 发送了一封电子邮件：“嘿，看看这个，我们银行有一个很酷的新帐户摘要功能， http://不安全/?SID=I_WILL_KNOW_THE_SID”。Mallory 正在尝试将 SID 固定为 I_WILL_KNOW_THE_SID。
  3. 爱丽丝有兴趣并参观 http://不安全/?SID=I_WILL_KNOW_THE_SID. 。弹出通常的登录屏幕，Alice 登录。
  4. 马洛里访问 http://不安全/?SID=I_WILL_KNOW_THE_SID 现在可以无限制地访问 Alice 的帐户。