什么是会话劫持以及如何阻止它

今天药忘吃喽~ 2023-09-28 18:11 101阅读 0赞

> *这个故事适用于初学者和任何对 cookie（会话 cookie）有基本了解但不确定如何正确保护它们的人。您不必成为安全专家也能做到这一点。你只需要了解这个过程，然后你就会知道。*

如果您对 cookie 或它们的工作原理一无所知，请阅读这篇关于[HTTP Cookie][]的文章。

让我们开始吧！您有一个出色的 Web 应用程序，可为客户提供出色的服务。这意味着您将拥有一个**身份验证**机制来让用户访问您的应用程序。你知道安全的重要性。您在身份验证期间实施了各种安全措施。**伟大的！**

成功验证后，您必须为该用户创建一个**会话。**这意味着您实际上是在创建一个**cookie**并将其发送回浏览器。例如，在 Java Web 应用程序中，默认情况下，它称为**JSESSIONID。**它看起来像这样：

![60b2a8cf2decf9642cb461b23f7d9a33.png][]

来自 Chrome 开发控制台的 Cookie 信息 -> 应用程序 -> Cookie

通过使用此 cookie，只有您的网络服务器能够识别用户是谁，并将相应地提供内容。这个饼干看起来很棒。cookie 中没有敏感信息，只有随机 ID（不可猜测）。所以用户是**安全的！**…正确的？

不完全是，让我们仔细看看。

![311c9e8b45fb46518b2f012a4b8f2704.png][]

此 cookie 中有两个属性：**HttpOnly (HTTP)**和**Secure。**它们的值为空白，表示**未启用此 cookie *。***这就是它不再安全的地方。

这就是会话劫持发挥作用的地方。

> **会话劫持**，有时也称为 cookie **劫持**，是利用有效的计算机 **会话**（有时也称为 **会话**密钥）来未经授权访问计算机系统中的信息或服务。— [维基百科][Link 1]

因此，这是窃取客户会话 ID 的行为，通过该 ID，他们可以访问您的 Web 应用程序，就好像他们是那个客户一样。

**这可能吗？他们如何获得用户浏览器中的会话 ID？**

是的，这是可能的。我们之前看到的两个 cookie 属性（或标志）（**HttpOnly**和**Secure**）就是造成这种情况的原因。

#### **HttpOnly 标志** ####

> `HttpOnly`JavaScript 的 `Document.cookie`API 无法访问 cookie；它们只发送到服务器。例如，保持服务器端会话的 cookie 不需要对 JavaScript 可用，并且 `HttpOnly`应该设置标志。

所以简单来说，如果您不设置 httpOnly 标志，那么您的 cookie 可以从前端 JavaScript 代码中读取。

打开其 cookie 没有设置 httpOnly 标志的任何网页。然后打开**Chrome 开发控制台**，然后点击**控制台选项卡**（Cmd + Shift+ J 或 Ctrl + Shift+ J）。输入`document.cookie`并回车，您将看到如下内容：

![843f098b10246ca6247f990689471258.png][]

document.cookie 的使用

如您所见，您获得了所有 cookie 信息。JavaScript 攻击者可以简单地将其发布到他们自己的服务器以供以后使用。

您可能想知道他们如何在您的应用程序中编写此代码。有几种可能。

一种方法是注入一些**不受信任的第三方 JS 库**，例如日志记录、辅助实用程序等。阅读这篇文章，[我正在从您的站点获取信用卡号和密码。方法如下][Link 2]**。**

另一种方法是使用[跨站点脚本攻击][Link 3]**。**我们不打算深入了解它的细节，但请记住它是可以做到的。

**那么我们该如何解决呢？**

JavaScript 客户端甚至不需要访问会话 cookie。它只需要服务器。我们应该让它只能被服务器访问。可以通过在***set\_cookie*** http 响应标头中添加一个单词 ( **httpOnly** )来完成。像这样：

Set-Cookie: JSESSIONID=T8zK7hcII6iNgA; Expires=Wed, 21 May 2018 07:28:00 GMT; HttpOnly

通过添加**httpOnly**标志，您将指示浏览器 JavaScript 代码不应读取此 cookie。浏览器会处理剩下的事情。这是添加 httpOnly 标志后的样子：

![405f9e6daf1e0ff84de063b533f367ef.png][]

使用 httpOnly 标志设置的 cookie

请注意 HTTP 属性中的刻度线。这表明**httpOnly**已启用。

![3943a2385270928ca216a9115272f6b9.png][]

在这里您可以看到***document.cookie***没有返回我们的会话 cookie。这意味着没有 JS 可以读取它，包括任何外部脚本。

就是这样——一降一降！

#### **安全标志** ####

**安全**标志指示浏览器仅应通过加密连接（即 HTTPS 连接）将 cookie 返回给应用程序。

因此，当带有**安全标志的 cookie 发送到浏览器时，**并且当您使用 HTTP 向应用程序发出请求时，浏览器不会在请求中附加此 cookie。它只会在 HTTPS 请求中附加它。HTTPS 请求将被加密，因此 cookie 将通过网络安全地发送到您的应用程序。

**有人如何读取 HTTP 请求中的 cookie？**

**当有人（称为“中间人”**攻击）监控客户网络中的所有流量时，就可以实现这一点。*如果请求是HTTP*，他们能够看到明文数据。

当它通过*HTTPS*发送时，所有数据将从浏览器加密并发送到网络。攻击者将无法获取您发送的原始数据。攻击者也无法解密内容。这就是为什么通过 SSL 发送数据是安全的。

**那么我们该如何解决呢？**

就像 httpOnly 标志一样，您只需在***set\_cookie*** HTTP 响应标头中添加**安全**标志。像这样：

Set-Cookie: JSESSIONID=T8zK7hcII6iNgA; Expires=Wed, 21 May 2018 07:28:00 GMT; HttpOnly; Secure

在 Java 中，它可以通过多种方式完成。如果您使用的是 Servlet 3.0 或更高版本，则可以在***web.xml***中配置这些设置，如下所示：

<session-config>    <cookie-config>        <http-only>true</http-only>        <secure>true</secure>    </cookie-config> </session-config>

如果您的环境不支持它，那么您可以手动添加它。例如，使用 Servlets 你可以这样做：

最后，这是设置两个标志时的样子，

![0c22be7b94774efce93381c8599874d7.png][]

#### **结论** ####

因此，当您处理会话 cookie 或任何其他重要的 cookie 时，请确保添加这两个标志。

感谢阅读，**快乐安全！**

[HTTP Cookie]: https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies
[60b2a8cf2decf9642cb461b23f7d9a33.png]: https://img-blog.csdnimg.cn/img_convert/60b2a8cf2decf9642cb461b23f7d9a33.png
[311c9e8b45fb46518b2f012a4b8f2704.png]: https://img-blog.csdnimg.cn/311c9e8b45fb46518b2f012a4b8f2704.png
[Link 1]: https://en.wikipedia.org/wiki/Session_hijacking
[843f098b10246ca6247f990689471258.png]: https://img-blog.csdnimg.cn/img_convert/843f098b10246ca6247f990689471258.png
[Link 2]: https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5
[Link 3]: https://www.owasp.org/index.php/Cross-site_Scripting_%28XSS%29
[405f9e6daf1e0ff84de063b533f367ef.png]: https://img-blog.csdnimg.cn/img_convert/405f9e6daf1e0ff84de063b533f367ef.png
[3943a2385270928ca216a9115272f6b9.png]: https://img-blog.csdnimg.cn/img_convert/3943a2385270928ca216a9115272f6b9.png
[0c22be7b94774efce93381c8599874d7.png]: https://img-blog.csdnimg.cn/img_convert/0c22be7b94774efce93381c8599874d7.png