淺談session及其安全

Clect 發(fā)布于2019-08-22 16:23 / 2033人閱讀

摘要：什么是在網絡應用中被稱為會話控制?，F在大多數站點采用基于的管理方式用戶登陸成功后，設置一個唯一的標識本次會話，基于這個標識進行用戶授權。防止注入過濾用戶輸入每次請求做其他驗證中取加密后的用戶，中取用戶并加密，比較二者，不同時攔截住。

什么是Session？

Session在網絡應用中被稱為“會話控制”。

Session存儲在服務器端。

用戶A訪問網站B，A登錄網站后，服務器會創(chuàng)建一個Session來保存用戶狀態(tài)和相關信息。每個Session對應一個標識符SessionID來標識用戶身份。SessionID一般是由服務器以加密的方式寫到cookie中的，這樣用戶A登錄后，訪問網站B中不同的網頁時請求中會帶上SessionID來標識他的身份，以此實現一次登錄，訪問全網站。（現在大多數站點采用基于cookie的session管理方式：用戶登陸成功后，設置一個唯一的cookie標識本次會話，基于這個標識進行用戶授權。只要請求中帶有這個標識，都認為是登錄態(tài)。）

Session劫持

只要請求中帶有這個標識，都認為是登錄態(tài)

這就危險了，一旦你的標識被別人獲取，你的Session就被別人劫持了，他就可以用你的身份為所欲為。

最基本的cookie竊取方式：xss漏洞

攻擊者最簡單獲取他人cookie信息的方法是XSS攻擊，想辦法注入js腳本到被攻擊者客戶端并執(zhí)行，通過執(zhí)行這個js腳本，攻擊者在被攻擊者登錄后獲得了他的SessionID，通過在自己客戶端修改sessionId獲得了被攻擊者的身份，后果不堪設想。。。

防御方法

cookie設置為HttpOnly，js腳本就無法再獲取cookie，也就無法得到你的會話標識。

防止xss注入：過濾用戶輸入

每次請求做其他驗證：cookie中取加密后的用戶id，session中取用戶id并加密，比較二者，不同時攔截住。（個人理解）

GPU云服務器云服務器海量信息存儲安全技術及其應用 session安全設計淺談淺談javascript

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規(guī)行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://m.hztianpu.com/yun/94315.html

淺談session及其安全

摘要：什么是在網絡應用中被稱為會話控制?，F在大多數站點采用基于的管理方式用戶登陸成功后，設置一個唯一的標識本次會話，基于這個標識進行用戶授權。防止注入過濾用戶輸入每次請求做其他驗證中取加密后的用戶，中取用戶并加密，比較二者，不同時攔截住。什么是Session？ Session在網絡應用中被稱為會話控制。 Session存儲在服務器端。用戶A訪問網站B，A登錄網站后，服務器會創(chuàng)建一個Se...

ssshooter 2019-08-15 15:32 評論0 收藏0
淺談session及其安全

摘要：什么是在網絡應用中被稱為會話控制。現在大多數站點采用基于的管理方式用戶登陸成功后，設置一個唯一的標識本次會話，基于這個標識進行用戶授權。防止注入過濾用戶輸入每次請求做其他驗證中取加密后的用戶，中取用戶并加密，比較二者，不同時攔截住。什么是Session？ Session在網絡應用中被稱為會話控制。 Session存儲在服務器端。用戶A訪問網站B，A登錄網站后，服務器會創(chuàng)建一個Se...

Michael_Ding 2019-08-06 13:32 評論0 收藏0
淺談cookie，session和localStorage，sessionStorage的區(qū)別

摘要：保持狀態(tài)保存在瀏覽器端，保存在服務器端存儲的大小單個保存的數據不能超過大小沒有限制。的目的是克服由所帶來的一些限制，當數據需要被嚴格控制在客戶端時，不需要持續(xù)的將數據發(fā)回服務器。的生命周期是僅在當前會話下有效。寫在前面既然是淺談，就不會詳細從底層原理解釋這幾個的區(qū)別，就簡單地聊一下，這幾個的區(qū)別，優(yōu)缺點，應用場景 cookie和session 瀏覽器的緩存機制提供了可以將用戶數據存...

frolc 2019-08-23 13:43 評論0 收藏0
淺談DOMContentLoaded事件及其封裝方法

摘要：事件雖然不支持，但它支持事件，該事件的目的是提供與文檔或元素的加載狀態(tài)有關的信息。事件可以用于檢測是否加載完畢，當時，表示加載完成。封裝事件以下，是封裝事件從而達到良好的兼容性的一個簡單的代碼實現。我們在開發(fā)時，經常需要檢測頁面是否加載完畢，以確保腳本安全運行，下面我們就來淺談一下檢測頁面是否加載完畢的那些事件們。 1. onload 事件在頁面的所有資源加載完成時，window對...

waruqi 2019-08-19 18:41 評論0 收藏0
淺談DOMContentLoaded事件及其封裝方法

摘要：事件雖然不支持，但它支持事件，該事件的目的是提供與文檔或元素的加載狀態(tài)有關的信息。事件可以用于檢測是否加載完畢，當時，表示加載完成。封裝事件以下，是封裝事件從而達到良好的兼容性的一個簡單的代碼實現。我們在開發(fā)時，經常需要檢測頁面是否加載完畢，以確保腳本安全運行，下面我們就來淺談一下檢測頁面是否加載完畢的那些事件們。 1. onload 事件在頁面的所有資源加載完成時，window對...

leon 2019-08-01 15:25 評論0 收藏0