黑客攻防技术宝典web实战篇：攻击会话管理习题

猫宁！！！

参考链接：http://www.ituring.com.cn/book/885

随书答案。

1. 登录一个应用程序后，服务器建立以下 cookie：
Set-cookie: sessid=amltMjM6MTI0MToxMTk0ODcwODYz;
一个小时后，再次登录并得到以下 cookie：
Set-cookie: sessid=amltMjM6MTI0MToxMTk0ODc1MTMy;
通过这些 cookie，可以得出什么推论？

sessid cookie 包含一个 Base64 编码的字符串。解码收到的两个 cookie 可
得到以下值：
jim23:1241:1194870863
jim23:1241:1194875132
解码后的 cookie 包含三个以分号分隔的数据项。初看来，这三个值可能包含用
户名、数字用户标识和一个不断变化的数值。最后一项包含 10 个数字，看起来
像一个 Unix 时间值。转换这两个值后得到以下信息：
Mon, 12 Nov 2007 12:34:23 UTC
Mon, 12 Nov 2007 13:45:32 UTC
这表示创建会话的时间。
因此，会话令牌似乎由有意义的用户相关数据和一个可预测的数据项构成。
理论上，可以实施蛮力攻击来猜测发布给其他应用程序用户的令牌。

2. 某个应用程序使用由 6 个字符组成的数字字母会话令牌和由 5 个字符组成的
数字字母密码。它们全都由某种无法预测的算法随机生成。其中哪一个最有可能
成为蛮力猜测攻击的目标？列出影响你做出决策的各种不同因素。

与由 5 个字符组成的密码相比，由 6 个字符组成的会话令牌的可能值要多得
多。因此，似乎较短的密码是最有价值的攻击目标。
但是，针对密码的蛮力攻击与针对会话令牌的蛮力攻击之间存在一些重要的
差异。在尝试猜测密码时，必须同时提交用户名和密码，因此每个请求最多只能
针对一个账户发动攻击，甚至可能无法针对任何账户发动攻击。你可能已经知道
一些用户名，或者能够枚举出用户名，或者可能需要同时猜测用户名和密码。登
录机制可能包含多个阶段，或者响应速度较慢。登录机制还可能实施了账户锁定
机制，这会显著降低你的攻击速度。
另一方面，在尝试猜测会话令牌时，通常可以同时针对多个用户。应用程序
中可能有 20、2000 或 0 位已登录用户。如果某位用户当前并未登录，则无法以
这种方式对其实施攻击。在收到大量无效令牌时，应用程序根本没有办法实施任
何类型的“锁定”。正常情况下，令牌猜测攻击的速度非常快，通常，包含无效
令牌的请求会立即收到包含错误消息或重定向的响应。
简言之，这个问题并没有确定的答案。哪一个是最有价值的目标，将取决于你的
目的和应用程序的其他因素。如果许多用户都已登录并且只需要攻破其中一位用
户，则最好是针对会话实施攻击。如果希望攻破某个极少登录的管理账户，则实
施密码猜测攻击会更加有效。

3. 登录位于以下 URL 的一个应用程序后：
https://foo.wahh-app.com/login/home.php
服务器建立以下 cookie：
Set-cookie: sessionId=1498172056438227; domain=foo.wahhapp.
com; path=/login; HttpOnly;
然后访问下面的 URL。浏览器会将 sessionId cookie 提交给哪些 URL？（选出全
部答案。）

(1) https://foo.wahh-app.com/login/myaccount.php
(2) https://bar.wahh-app.com/login
(3) https://staging.foo.wahh-app.com/login/home.php
(4) http://foo.wahh-app.com/login/myaccount.php
(5) http://foo.wahh-app.com/logintest/login.php
(6) https://foo.wahh-app.com/logout
(7) https://wahh-app.com/login/
(8) https://xfoo.wahh-app.com/login/myaccount.php

(1) 是。其中的域和路径均与 cookie 范围相匹配。
(2) 否。其中的域与 cookie 的域范围不同，也不是它的子域。
(3) 是。其中的域是范围中指定的域的子域，且路径与范围相匹配。
(4) 是。其中的域和路径均与 cookie 范围相匹配。虽然采用了 HTTP 协议，但并
未指定 secure 标记，因此仍然会传送该 cookie。
(5) 是。其中的域与 cookie 范围相匹配。由于路径范围在/login 后并没有斜线，
因此，该范围将不仅包括路径/login/，而且包括任何其他与/login 前缀匹配的
路径。
(6) 否。其中的路径与 cookie 范围不匹配。
(7) 否。其中的域是在范围中指定的域的父域。
(8) 否。其中的域与 cookie 的域范围不同，也不是它的子域。

4. 所针对的应用程序除使用主会话令牌外，还使用每页面令牌。如果收到一个
不按顺序发送的每页面令牌，整个会话将被终止。假设发现了某种缺陷，可通过
它预测或截获应用程序发布给当前正在访问应用程序的其他用户的令牌，那么是
否能够劫持他们的会话？

攻击者仍有可能实施会话劫持攻击。如果攻击者获得了发布给某个用户的令
牌，就可以立即使用那些令牌提出请求，并且服务器将接受这些请求。但是，如
果该用户随后向应用程序提出另一个请求，其提交的每页面令牌将出现顺序错
误，整个会话将被终止。因此，如果用户仍然在与应用程序交互，则实施攻击的
可能性会非常低。如果攻击者只希望利用用户的权限执行特定操作，则可以实施
一次脚本攻击，在有限的时间间隔内执行所需操作。

5. 登录一个应用程序后，服务器建立以下 cookie：
Set-cookie: sess=ab11298f7eg14;
单击“退出”按钮后，应用程序执行以下客户端脚本：
document.cookie=”sess=”;
document.location=”/”;
通过这种行为，可以得出什么结论？

退出功能存在缺陷。
上述脚本将使浏览器中当前保存的会话令牌失效，也就是说，随后的任何请求将
不会提交之前的令牌值。然后，该脚本将启动一个指向应用程序起始页面的重定
向。任何访问受保护功能的尝试将遭到拒绝，因为相关请求并不属于通过验证的
会话的一部分。
但是，客户端应用程序并未将已执行了退出操作这一信息传达给服务器。服务器
上的用户会话将仍处于活动状态，如果将之前发布的令牌提交给服务器，服务器
将继续接受该令牌。在会话超时或以其他方式被清除之前，这种情况会一直持续。
在这段时间内，已通过某种方式截获或猜测出令牌值的攻击者就可以继续使用令
牌来劫持用户的会话。