1、简介

　　Session对于Web应用无疑是最重要的，也是最复杂的。对于web应用程序来说，加强安全性的第一条原则就是 – 不要信任来自客户端的数据，一定要进行数据验证以及过滤，才能在程序中使用，进而保存到数据层。 然而，为了维持来自同一个用户的不同请求之间的状态， 客户端必须要给服务器端发送一个唯一的身份标识符(Session ID)。 很显然，这和前面提到的安全原则是矛盾的，但是没有办法，http协议是无状态的，为了维持状态，我们别无选择。 可以看出，web应用程序中最脆弱的环节就是session，因为服务器端是通过来自客户端的一个身份标识来认证用户的， 所以session是web应用程序中最需要加强安全性的环节。　

　　基于session的攻击有很多种方式。大部分的手段都是首先通过捕获合法用户的session, 然后冒充该用户来访问系统。也就是说，攻击者至少必须要获取到一个有效的session标识符，用于接下来的身份验证。　

　　攻击者至少可以通过以下三种方式来获取一个有效的session标识符:

　　1、预测

　　2、捕获（劫持）

　　3、固定

2、会话预测

　　预测这种方式，也就是攻击者需要猜测出系统中使用的有效的session标识符（PHP中格式为PHPSESSID=1234），有点类似暴力破解。 php内部session的实现机制虽然不是很安全，但是关于生成session id的关节还是比较安全的，这个随机的session id往往是极其复杂的并且难于被预测出来，所以说，这种攻击方式基本上是不太可能成功的。

3、会话劫持

　　3.1、含义

　　会话劫持（Session hijacking），这是一种通过获取用户Session ID后，使用该Session ID登录目标账号的攻击方法，此时攻击者实际上是使用了目标账户的有效Session。会话劫持的第一步是取得一个合法的会话标识来伪装成合法用户，因此需要保证会话标识不被泄漏。

　　3.2、攻击步骤

　　1、 目标用户需要先登录站点；

　　2、 登录成功后，该用户会得到站点提供的一个会话标识SessionID；

　　3、 攻击者通过某种攻击手段捕获Session ID；

4、 攻击者通过捕获到的Session ID访问站点即可获得目标用户合法会话。

攻击者获取SessionID的方式有多种：

1、 暴力破解：尝试各种Session ID，直到破解为止；

2、 预测：如果Session ID使用非随机的方式产生，那么就有可能计算出来；

3、 窃取：使用网络嗅探，XSS攻击等方法获得。

　　对于PHP来说，其内部Session的实现机制虽然不是很安全，但是关于生成Session ID的环节还是比较安全的，这个随机的Session ID往往是极其复杂的并且难于被预测出来，所以，对于第一、第二种攻击方式基本上是不太可能成功的。

　　对于第三种方式大多使用网络数据通讯层进行攻击获取，可以使用SSL进行防御。

　　在应用层上也可以做出相应的防御措施：

　　目前有三种广泛使用的在Web环境中维护会话（传递Session ID）的方法：URL参数，隐藏域和Cookie。其中每一种都各有利弊，Cookie已经被证明是三种方法中最方便最安全的。从安全的观点，如果不是全部也是绝大多数针对基于Cookie的会话管理机制的攻击对于URL或是隐藏域机制同样适用，但是反过来却不一定，这就让Cookie成为从安全考虑的最佳选择。

　　3.3、防御方法

　　1、 更改Session名称。PHP中Session的默认名称是PHPSESSID，此变量会保存在Cookie中，如果攻击者不分析站点，就不能猜到Session名称，阻挡部分攻击。

2、 关闭透明化Session ID。透明化Session ID指当浏览器中的Http请求没有使用Cookie来存放Session ID时，Session ID则使用URL来传递。

3、 设置HttpOnly。通过设置Cookie的HttpOnly为true，可以防止客户端脚本访问这个Cookie，从而有效的防止XSS攻击。

4、 关闭所有phpinfo类dump request信息的页面。

5、验证HTTP头部信息

　　　  在http访问头文件：[Accept-Charset、Accept-Encoding、Accept-Language、User-Agent]，浏览器一般发出的头部不会改

　　使用User-Agent检测请求的一致性。

 
 1 GET/HTTP/1.1

 2 host:example.org

 3 User-Agent:Firefox/1.0

 4 Accept:text/html,image/png,image/jpeg,image/gif,*/*

 5 Cookie:PHPSESSID=1234

 6 <?php

 7 session_start();

 8 if(isset($_SESSION['HTTP_USER_AGENT']))

 9 {

10         if($_SESSION['HTTP_USER_AGENT']!=md5($_SERVER['HTTP_USER_AGENT']))

11         {

12                         /*Promptforpassword*/

13                        exit;

14         }

15 }

16 else

17 {      
18 　　$_SESSION['HTTP_USER_AGENT']=md5($_SERVER['HTTP_USER_AGENT']);

19 }

20 ?>
 

　　确保User-Agent头部信息一致的确是有效的，如果会话标识通过cookie传递，攻击者能取得会话标识，他同时也能取得其它HTTP头部。由于cookie暴露与浏览器漏洞或跨站脚本漏洞相关，受害者需要访问攻击者的网站并暴露所有头部信息。则攻击者只需重建头部即可进行攻击了。

　　因此前提需要做好XSS防御！

　　注意：

在某些版本的IE浏览器中，用户正常访问一个网页和刷新一个网页时发出的Accept头部信息不同，因此Accept头部不能用来判断一致性。

　　有专家警告不要依赖于检查User-Agent的一致性。这是因为服务器群集中的HTTP代理服务器会对User-Agent进行编辑，而本群集中的多个代理服务器在编辑该值时可能会不一致。　　

　　6、 加入Token校验。同样是用于检测请求的一致性，给攻击者制造一些麻烦，使攻击者即使获取了Session ID，也无法进行破坏，能够减少对系统造成的损失。但Token需要存放在客户端，如果攻击者有办法获取到Session ID，那么也同样可以获取到Token。

4、会话固定

　　4.1、含义

　　会话固定（Session fixation）是一种诱骗受害者使用攻击者指定的会话标识（SessionID）的攻击手段。这是攻击者获取合法会话标识的最简单的方法。（让合法用户使用黑客预先设置的sessionID进行登录，从而是Web不再进行生成新的sessionID，从而导致黑客设置的sessionId变成了合法桥梁。）

　　会话固定也可以看成是会话劫持的一种类型，原因是会话固定的攻击的主要目的同样是获得目标用户的合法会话，不过会话固定还可以是强迫受害者使用攻击者设定的一个有效会话，以此来获得用户的敏感信息。

　　4.2、攻击步骤

1、 攻击者通过某种手段重置目标用户的SessionID，然后监听用户会话状态；

2、 目标用户携带攻击者设定的Session ID登录站点；

3、 攻击者通过Session ID获得合法会话

Web接收sessionID机制：

　　早期浏览器存贮的sessionID容易暴露、使用URL来传送sessionID

　　首先检查携带cookie是否含有sessionID；若没有则再检查get、post数据中是否含有，若有则使用此数据；没有才会使系统生成一个sessionID发给客户端。（经测试，get与post都不能设置sessionID【也许是被浏览器限制或者被代码本身禁止了吧，不过没关系，咱还有其他方法进行固定sessionID！】）

重置sessionID方式：

  • （一）使用客户端脚本来设置Cookie到浏览器。大多数浏览器都支持用客户端脚本来设置Cookie的，例如document.cookie="sessionid=123"，这种方式可以采用跨站脚本攻击来达到目的。防御方式可以是设置HttpOnly属性，但有少数低版本浏览器存在漏洞，即使设置了HttpOnly，也可以重写Cookie。所以还需要加其他方式的校验，如User-Agent验证，Token校验等同样有效。

测试例子：

html页面（表单），用于跨站脚本攻击

 
 1 <!DOCTYPE html>

 2 <html>

 3 <head>

 4     <title>重置sessionID（一）</title>

 5     <meta charset="utf-8">

 6 </head>

 7 <body>

 8 <form action="./test2.php" method="post">

 9 name：<input type="text" name="name"><br/>

10 age：<input type="text" name="age"><br/>

11 <input type="submit" name="" value="提交">

12 </form>

13 </body>

14 </html>
 

接收表单 ，test2.php

 
 1 <?php

 2 header("content-type:text/html;charset=utf8");

 3 session_start();

 4 if(!isset($_SESSION['count']))  #自增测试

 5 {

 6     $_SESSION['count']=0;

 7 }

 8 else

 9 {

10     $_SESSION['count']++;

11 }

12 echo '$_POST数据:';

13 echo "<pre>";

14 print_r($_POST);        #不处理数据直接接收

15 echo "</pre>";

16 echo '$_SESSION数据:';

17 echo "<pre>";

18 print_r($_SESSION);

19 echo "</pre>";die;

20 ?>
 

 测试：

　　1、表单中插入数据，并提交。然后不断刷新test2.php

<script type='text/javascript'> document.cookie='PHPSESSID=12345' </script>

　　2、接着分别查看sessionID以及count数值

　　3、在其他浏览器中，执行相同的步骤1（保证sessionID与之前相同）和2，可以看到count初始值不是0，而是在之前的基础上增加的。

结论：盗取sessionID成功！

  • （二）使用HTML的<META>标签加Set-Cookie属性。服务器可以靠在返回的HTML文档中增加<META>标签来设置Cookie。例如<meta http-equiv='Set-Cookie' content='PHPSESSID=22333'>，与客户端脚本相比，对<META>标签的处理目前还不能被浏览器禁止。【只要让此行代码在服务器中执行即可入侵】

测试：

　　只要让此行代码执行即可，（<meta http-equiv='Set-Cookie' content='PHPSESSID=22333'>）即可。我们将它放入表单中然后提交给PHP；接着不断刷新，再换浏览器执行相同步骤。和上面的测试一样！接着查看结果

  • （三）使用Set-Cookie的HTTP响应头部设置Cookie。攻击者可以使用一些方法在Web服务器的响应中加入Set-Cookie的HTTP响应头部。如会话收养，闯入目标服务器所在域的任一主机，或者是攻击用户的DNS服务器。

测试：(伪造浏览器执行http请求)

　　1、攻击者控制的服务器（www.test88.com）

　　2、www.test88.com/test99.php

　　客户访问这个页面，无形之中就简介访问第三方网站，并绑定一个sessionID；攻击者就可以掌握这个sessionID进行相应的攻击了

 
 1 <?php

 2 header("content-type:text/html;charset=utf8");

 3 $host='www.linuxtest.com';

 4 $port=80;

 5 $a=fsockopen($host,$port);

 6

 7 //请求行

 8 $request_data="Get /test2.php HTTP/1.1\r\n";

 9 //请求头

10 $request_data.="Host: www.linuxtest.com\r\n";

11 $request_data.="User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; rv:10.0) Gecko/20100101 Firefox/10.0\r\n";

12 $request_data.="Connection: keep-alive\r\n";

13 $request_data.="Cookie: PHPSESSID=99999\r\n";   #设置sessionID

14 $request_data.="\r\n"; //空行表示头结束

15 //发送数据

16 fwrite($a,$request_data);

17

18 #用于测试

19 //接收数据

20 $inheader=1;

21 while(!feof($a))

22 {

23     //echo fgets($a,1024);

24     //除去请求头，只显示返回数据

25     $data=fgets($a,1024);

26     if($inheader && ($data=="\n" || $data=="\r\n"))

27     {

28         $inheader=0;

29     }

30     if($inheader==0)

31     {

32         echo $data;

33     }

34 }

35 //关闭请求

36 fclose($a);

37

38 ?>
 

　　1、用户访问这个页面，并不断刷新，然后查看页面中的count值

　　2、接着，模拟黑客进行攻击。

　　在表单中插入数据（<script type='text/javascript'> document.cookie='PHPSESSID=99999' </script>），然后提交，并不断刷新test2.php，并观察count值。【换不换浏览器都可以，本质上讲黑客构造的http访问代码就相当于一个独立的浏览器】

　　结果显示：count值是接着上面的4不断增加！此时证明攻击成功！

　　4.3、防御方法

1、每当用户登陆的时候就进行重置sessionID

2、sessionID闲置过久时，进行重置sessionID

3、 大部分防止会话劫持的方法对会话固定攻击同样有效。如设置HttpOnly，关闭透明化Session ID，User-Agent验证，Token校验等。

【多个方法结合使用】

Session攻击的更多相关文章

  1. Session攻击（会话劫持+固定）与防御

    1.简介 Session对于Web应用无疑是最重要的,也是最复杂的.对于web应用程序来说,加强安全性的第一条原则就是 – 不要信任来自客户端的数据,一定要进行数据验证以及过滤,才能在程序中使用,进而 ...

  2. spring security防御会话伪造session攻击

    1. 攻击场景 session fixation会话伪造攻击是一个蛮婉转的过程. 比如,当我要是使用session fixation攻击你的时候,首先访问这个网站,网站会创建一个会话,这时我可以把附有 ...

  3. web安全中的session攻击

    运行着个简单的demo后,打开login.jsp,使用firebug或chrome会发现,即使没有登录,我们也会有一个JSESSIONID,这是由服务器端在会话开始是通过set-cookie来设置的匿 ...

  4. Web安全中的常见Session攻击(预测+劫持+固定)

    攻击者至少可以通过以下三种方式来获取一个有效的session标识符: 1.预测 2.捕获(劫持) 3.固定 一.会话预测 预测这种方式,也就是攻击者需要猜测出系统中使用的有效的session标识符(P ...

  5. php中session原理及安全性问题

    有一点我们必须承认,大多数web应用程序都离不开session的使用.这篇文章将会结合php以及http协议来分析如何建立一个安全的会话管理机制   我们先简单的了解一些http的知识,从而理解该协议 ...

  6. session 安全相关

    有一点我们必须承认,大多数web应用程序都离不开session的使用.这篇文章将会结合php以及http协议来分析如何建立一个安全的会话管理机制.我们先简单的了解一些http的知识,从而理解该协议的无 ...

  7. php中session机制的详解

    [补充]session_start()要放在php最前面,header()函数也要放在session_start()之后. [读了下面的文章转载的文章后自己的理解]: 1,通过phpinfo()函数可 ...

  8. PHP5 session 详解【经典】 -- 转帖

    PHP5 session 详解[经典] http协议是WEB服务器与客户端(浏览器)相互通信的协议,它是一种无状态协议.所谓无状态,指的是不会维护http请求数据,http请求是独立的,非持久的.而越 ...

  9. PHP对于Session漏洞的防范

    目前,基于PHP的网站开发已经成为目前网站开发的主流,本文笔者重点从PHP网站攻击与安全防范方面进行探究,旨在减少网站漏洞,希望对大家有所帮助! 一.常见PHP网站安全漏洞 对于PHP的漏洞,目前常见 ...

随机推荐

  1. 15.Generator 函数的语法

    Generator 函数的语法 Generator 函数的语法 简介 基本概念 Generator 函数是 ES6 提供的一种异步编程解决方案,语法行为与传统函数完全不同.本章详细介绍 Generat ...

  2. api.execScript

    在指定 window 或者 frame 中执行脚本,对于 frameGroup 里面的 frame 也有效,若 name 和 frameName 都未指定,则在当前 window 中执行脚本,具体执行 ...

  3. Spring学习之路

    (一)搭建Spring.NET环境常见的DLL 1.spring.core --整个框架的基础,实现了依赖注入的功能 2.Spring.AOP--提供面向方面编程(aop)的支持 3.Spring.D ...

  4. [转] PHP读取HTTP接口如何处理超时

    原文地址:https://www.jianshu.com/p/446ea7aaea86 最近在工作中遇到一个读取 HTTP 接口慢的问题(使用的是 PHP 服务器端语言),所以想谈谈服务器端读取外部资 ...

  5. Javascript实现图片翻转

    使用Js的对象属性能实现简单的翻转效果.通过onMouseover事件和onMouseOut事件就能实现鼠标移到链接上和移开链接发生反应.给两个图片加上链接实现都能翻转的效果. reverse.htm ...

  6. java设计模式-----17、中介者模式

    概念: Mediator模式也叫中介者模式,是由GoF提出的23种软件设计模式的一种.Mediator模式是行为模式之一,在Mediator模式中,类之间的交互行为被统一放在Mediator的对象中, ...

  7. java设计模式-----19、迭代模式

    概念: Iterator模式也叫迭代模式,是行为模式之一,它把对容器中包含的内部对象的访问委让给外部类,使用Iterator(遍历)按顺序进行遍历访问的设计模式. 迭代模式使用比较少,JDK集合也提供 ...

  8. Tomcat启动慢原因之一 At least one JAR was scanned for TLDs yet contained no TLDs

    Tomcat启动时提示: 信息: At least one JAR was scanned for TLDs yet contained no TLDs. Enable debug logging f ...

  9. 使用HttpGet协议与正则表达实现桌面版的糗事百科

    写在前面 最近在重温asp.net,找了一本相关的书籍.本书在第一章就讲了,在不使用浏览器的情况下生成一个web请求,获取服务器返回的内容.于是在网上搜索关于Http请求相关的资料,发现了很多资料都是 ...

  10. angular自定义指令 repeat 循环结束事件；limitTo限制循环长度、限定开始位置

    1.获取repeat循环结束: 自定义指令: .directive('repeatFinish', function () { return { link: function (scope, elem ...