Session fixation là gì

Session Fixation là 1 kỹ thuật tấn công website. Kẻ tấn công lừa người dùng thực hiện session ID đặc biệt. Sau lúc người dùng đăng nhtràn vào ứng dụng website bởi session ID được cung cấp, kẻ tấn công sử dụng session ID hòa hợp lệ này để giành quyền truy cập vào tài khoản của người tiêu dùng.

Bạn đang xem: Session fixation là gì

1. Session Identifiers: Ưu, nhược điểm

Session identifiers (session ID) được áp dụng để bảo đảm người dùng trong những vận dụng web. Công nghệ này có cả ưu và yếu điểm cố định.

Ưu điểm: Nếu không tồn tại session ID, người dùng đã bắt buộc đăng nhtràn vào các vận dụng website liên tục rộng thay vì một lượt trong một phiên thao tác.

*

Nhược điểm:

2. Cách thức hoạt động vui chơi của cuộc tấn công Session Fixation

*

Một cuộc tiến công session fixation điển hình được triển khai nlỗi sau:

Kẻ tiến công truy cập trang đăng nhập với nhận session ID bởi ứng dụng website tạo thành. Cách này hoàn toàn có thể vứt thừa giả dụ ứng dụng gật đầu đồng ý session ID bất cứ.Nạn nhân truy vấn trang singin với đăng nhập vào ứng dụng. Sau Khi xác thực, ứng dụng website dấn dạng người tiêu dùng qua session ID.Kẻ tiến công thực hiện mã session ID nhằm truy cập ứng dụng web, chiếm phần phiên với mạo danh nàn nhân. Các hành vi tiếp sau dựa vào vào kẻ tiến công với công dụng áp dụng web.

Xem thêm: "What Is Board Cost In ' Room And Board Là Gì, Room And Board

Các quá trình đúng chuẩn của cuộc tiến công với độ cực nhọc của nó phụ thuộc vào một trong những vài ba nhân tố. Phần Khủng là cách nhà phát triển cách xử trí những session ID. Nếu đồng ý session ID trường đoản cú URL (Thông qua một GET request) thì cuộc tấn công khôn cùng đơn giản dễ dàng. Nếu đồng ý session ID từ POST request, kẻ tiến công rất có thể phải khởi tạo một website hàng fake. Sẽ tinh vi rộng (Nhưng không phải là bất khả thi) trường hợp các session ID chỉ được gật đầu từ cookie. Lúc đó, kẻ tiến công đề xuất thực hiện thêm vài kỹ thuật trung gian (Ví dụ: Cross-site Scripting (XSS)).

3. Biện pháp cản lại Session Fixation

Nguim nhân hầu hết của session fixation là áp dụng website thiếu thốn bảo mật thông tin cùng những cách thức lập trình khômg giỏi liên quan mang đến phần thống trị session:

Trường đúng theo tệ độc nhất vô nhị, đơn vị cải cách và phát triển ko khám nghiệm tính hợp lệ của session ID. Do kia, ngẫu nhiên chuỗi như thế nào (Hoặc chỉ cần thỏa mãn format làm sao đó) rất có thể được cung ứng làm cho session ID. Vấn đề này có tác dụng cho các cuộc tấn công session fixation trở đề xuất quá tiện lợi.Đôi khi, các đơn vị phát triển chỉ tạo ra session ID trước lúc người dùng singin với không lúc nào biến hóa nó. Đây là ngulặng nhân điển hình của những cuộc tiến công session fixation.Nếu đơn vị cải tiến và phát triển gật đầu ID phiên tự GET hoặc POST request, bọn chúng sẽ khiến cho kẻ tiến công tiện lợi rộng vào việc cưỡng chế một session ID cho tất cả những người sử dụng.

Có một vài biện pháp nhằm tách session fixation:

Pmùi hương pháp hiệu quả độc nhất vô nhị là đổi khác session ID tức thì sau khi người tiêu dùng đăng nhập. Như vậy giúp vứt bỏ hầu như những lỗ hổng session fixation.Một phương án đối phó bổ sung là biến hóa session ID nếu bao gồm ngờ vực về hành động sai trái tàng ẩn. Ví dụ: Có thể soát sổ coi xúc tiến IP hoặc user-agent của client gồm đổi khác hay không với giả dụ có thì cung ứng session ID mới.Nên vô hiệu hóa hóa session ID sau thời điểm không còn thời hạn hóng. Vấn đề này khiến cho kẻ tấn công không có thời cơ tận dụng session ID thắt chặt và cố định. Ví dụ: Sau 10 phút không tồn tại vận động làm sao vẫn tự động singout.Có thể chuyển đổi session ID với đa số hành vi của người dùng. Đây là 1 trong biện pháp táo bạo, tuy vậy, không quan trọng cùng có công dụng ảnh hưởng đến thưởng thức người dùng với công suất của trang web (Có thể ko tiến hành được Lúc áp dụng applet). Để sút thiểu tác động, hoàn toàn có thể chuyển đổi session ID trước mỗi hành động đặc trưng của người dùng bên trên website.Hãy nhớ áp dụng session cookie nhằm thống trị session với không chấp nhận session ID từ bỏ HTTP request cùng HTTP header.Một biện pháp ứng phó khác là lưu lại các ở trong tính nói riêng cho người sử dụng trong session, xác minch chúng mỗi một khi tất cả request và khước từ quyền truy vấn giả dụ công bố không phù hợp. Các trực thuộc tính đó hoàn toàn có thể là tác động IPhường hoặc user agent (Tên trình thông qua web).

Có thể sử dụng web vulnerability scanner để kiểm tra xem trang web hoặc ứng dụng web của khách hàng có bất kỳ lỗ hổng session fixation làm sao không, nhưng lại session fixation tương tự nhỏng các lỗ hổng lô ghích và rất khó nhằm phân phát hiện tại tự động.