浦东网警
今天我们要聊聊关于会话劫持的话题
想象一下，在现实生活中，你有一张某商场的礼品卡，但是它不幸被偷了！偷卡的人拿着你的礼品卡去商场消费，商场还是会认的。认卡不认人，这就是会话劫持的道理。所谓会话，就是两台主机之间的一次通讯。
例如你远程登录到某台主机
这就是一次Telnet会话
你浏览某个网站
这就是一次HTTP会话
而会话劫持（Session Hijack）
就是结合了嗅探以及欺骗技术在内的攻击手段
（会话劫持示意图）
例如，在一次正常的会话过程当中，攻击者作为第三方参与到其中，
他可以在正常数据包中插入恶意数据；
也可以在双方的会话当中进行监听；
甚至可以是代替某一方主机接管会话。
1
攻 击 原 理
会话劫持利用了TCP/IP工作原理来设计攻击。TCP使用端到端的连接来唯一标识每一条已经建立连接的TCP链路。
TCP会话劫持的攻击方式可以对基于TCP的任何应用发起攻击，如HTTP、FTP、Telnet等。
对于攻击者来说，所要做的就是窥探到正在进行TCP通信的两台主机之间传送的报文，这样攻击者就可以得知该报文的信息。
在合法主机收到另一台合法主机发送的TCP报文前，攻击者根据所截获的信息向该主机发出一个TCP报文，如果该主机先收到攻击报文，就可以把合法的TCP会话建立在攻击主机与被攻击主机之间。
TCP会话劫持攻击方式的好处在于使攻击者避开了被攻击主机对访问者的身份验证和安全认证，从而使攻击者直接进入对被攻击主机的的访问状态，因此对系统安全构成的威胁比较严重。
2
劫 持 方 式
1
会话固定
攻击者访问你的站点并取得你分配给他的Session ID。比如你给的ID是12345。如果他使用某种手段欺骗其他用户使用同一ID，他就完全接管了用户的账户。Java项目通常通过URL传递session ID。你可能也看到过某些网站的URL中有JSESSION ID这个参数。URL传递session ID是实现会话固定最简单的方式。攻击者要做的仅仅是让用户点击一下有JSESSION ID=12345这个参数的链接。
2
Side Jacking
跟中间人攻击类似，攻击者截取用户与服务器（通常通过公共Wi-Fi接入）之间的通信数据。与主动修改请求数据不同，Side Jacking攻击是被动监听并记录数据。Cookie在HTTP头部以明文传输，因此攻击者窃取Session ID很容易。
3
跨站脚本攻击
即使使用了HTTPS协议和安全cookie机制，站点仍可能会被会话劫持。会话劫持的第三种方式是XSS跨站脚本攻击。（详见：网络安全涨姿势第4期：基础网络攻防之跨站攻击）
4
恶意代码
会话劫持的最后一种方式跟其他三种有点不一样。攻击者可以利用任何漏洞，注册恶意程序或者获取用户计算机的物理访问权限。这时，攻击者可以直接从文件系统或者内存里面复制Session ID。
3
预 防 检 测
1、更改Session名称
PHP中Session的默认名称是PHPSESSID，此变量会保存在Cookie中，如果攻击者不分析站点，就不能猜到Session名称，阻挡部分攻击。
2、关闭透明化Session ID
透明化Session ID指当浏览器中的Http请求没有使用Cookie来存放Session ID时，Session ID则使用URL来传递。
3、设置HttpOnly
通过设置Cookie的HttpOnly为true，可以防止客户端脚本访问这个Cookie，从而有效的防止XSS攻击。
4、关闭phpinfo
关闭所有phpinfo类dump request信息的页面。
5、验证HTTP头部信息
在http访问头文件：[Accept-Charset、Accept-Encoding、Accept-Language、User-Agent]，浏览器一般发出的头部不会改。
6、加入Token校验
同样是用于检测请求的一致性，给攻击者制造一些麻烦，使攻击者即使获取了Session ID，也无法进行破坏，能够减少对系统造成的损失。
7、开展持续防护
网站安全措施的执行并不是一劳永逸的，需要持续开发才能保证正确运行。当账户有重大修改或者购物行为时就要求用户重新授权，采用双因素身份验证，比如缩短session过期时间，限制用户使用记住账号密码的功能等。
往期回顾
【网络安全涨姿势】
第1期：电脑奇卡？也许是挖矿木马作祟
第2期：隐秘的黑链，伸向网站的龌龊黑手
第3期：基础网络攻防之webshell攻击
第4期：基础网络攻防之跨站攻击
第5期：没那么简单！小邮件大问题
第6期：保护个人信息，别再用弱口令了
第7期：应对勒索病毒？你只有这样做
第8期：从PC到手机，恶意软件从未停止
第9期：基础网络攻防之SQL注入
第10期：网页篡改需提防 大意违法泪两行
第11期：基础网络攻防之DDoS攻击
第12期：基础网络攻防之跨站请求伪造
第13期：号称能省钱、能赚钱这类App其实是双刃剑
第14期：远离劫持，我的浏览器我做主！
第15期：恐怖！APT高级持续性威胁攻击
第16期：游戏辅助一时爽，帐号被盗泪两行
第17期：漏洞如其名，“心脏出血”制造致命内伤
第18期：当套路贷遇上非法网络爬虫
第19期：保护个人信息，严防越权访问
浦东网警
微博：浦东网警
守护互联网安全
