session漏洞：知道别人的sessionid就能强制访问需登录的页面-CSDN论坛

session漏洞：知道别人的sessionid就能强制访问需登录的页面

Java > Web 开发

收藏回复

[问题点数：45分，结帖人askquestion_007]

⋅ 为什么httpClient.executeMethod超时时间无效 ⋅Firefox中XMLHttpRequest返回结果在错误控制台报--语法错误 ⋅session漏洞：知道别人的sessionid就能强制访问需登录的页面 更多帖子 关注私信空间博客 askquestion_007 等级 本版专家分：0 结帖率 90%: www.example.com不论是部署在tomcat5或6下按以下步骤均可强制登录：
www.example.com/secure.jsp是一个需要登录才能访问的页面
1. 用firefox登录该页面，然后用firebug查看cookie中的sessionId，比如等于XXX123
2. 用IE9访问链接www.example.com/secure.jsp;jsessionid=XXX123，无法查看，但当把cookie设置为禁用时
则可以访问到该页面。(说明先从cookie中查找sessionId,如果没有再用链接中的jsessionid，很自然的逻辑)
3. 换台电脑用IE8访问www.example.com/secure.jsp;jsessionid=XXX123，不论是否禁用cookie均访问成功

疑问：
1. 通过抓包工具很容易看到别人的sessionId，这样通过附加jsessionid且不是能为所欲为
2. 为何IE8不禁用cookie也能成功，难以理解 (chrome不同版本竟然也类似于IE9/8)

这个安全漏洞大家关注过么，如何解决？

2013-06-04 22:01:03

点赞只看楼主引用举报楼主收起

展开阅读全文

⋅ 为什么httpClient.executeMethod超时时间无效 ⋅Firefox中XMLHttpRequest返回结果在错误控制台报--语法错误 ⋅session漏洞：知道别人的sessionid就能强制访问需登录的页面 更多帖子 关注私信空间博客 askquestion_007 等级 本版专家分：0: 没人留意过这个问题？

2013-06-05 09:17:19

点赞只看TA 引用举报 #1得分 0

⋅vb.net连接sqlserver2012执行一条删除语句 ⋅ajax传值到action无法接收到 ⋅求助，遇到一个棘手的问题 更多帖子 关注私信空间博客 boy_3211 等级 本版专家分：20: 如果换一个tomcat的版本，会不会出现这样的情况？
或者直接不要用cookie,直接用session，这样是否可行？
每个IE都会多多少少存在一些漏洞，或者跟本地的某个配置有关，或者跟某个插件有关，这些事不好说。

2013-06-05 09:25:00

点赞只看TA 引用举报 #2得分 0

⋅此用户还没有发表过任何帖子 关注私信空间博客 鸡肋啊 等级 本版专家分：860: 引用楼主 askquestion_007 的回复:
www.example.com不论是部署在tomcat5或6下按以下步骤均可强制登录：
www.example.com/secure.jsp是一个需要登录才能访问的页面
1. 用firefox登录该页面，然后用firebug查看cookie中的sessionId，比如等于XXX123
2. 用IE9访问链接www.example.com/secure.jsp;jsessionid=XXX123，无法查看，但当把cookie设置为禁用时
则可以访问到该页面。(说明先从cookie中查找sessionId,如果没有再用链接中的jsessionid，很自然的逻辑)
3. 换台电脑用IE8访问www.example.com/secure.jsp;jsessionid=XXX123，不论是否禁用cookie均访问成功

疑问：
1. 通过抓包工具很容易看到别人的sessionId，这样通过附加jsessionid且不是能为所欲为
2. 为何IE8不禁用cookie也能成功，难以理解 (chrome不同版本竟然也类似于IE9/8)

这个安全漏洞大家关注过么，如何解决？

是不是浏览器的漏洞不清楚，不过你加个URL重定向应该可以避免这个问题

2013-06-05 09:29:28

点赞只看TA 引用举报 #3得分 45

⋅ 为什么httpClient.executeMethod超时时间无效 ⋅Firefox中XMLHttpRequest返回结果在错误控制台报--语法错误 ⋅session漏洞：知道别人的sessionid就能强制访问需登录的页面 更多帖子 关注私信空间博客 askquestion_007 等级 本版专家分：0: 跟浏览器没有关系，因为chrome也一样，另外url重定向不可取，因为有正常用户如果禁用了cookie是需要通过jsessionid访问的，不能重定向

2013-06-05 10:58:55

点赞只看TA 引用举报 #4得分 0

⋅ 为什么httpClient.executeMethod超时时间无效 ⋅Firefox中XMLHttpRequest返回结果在错误控制台报--语法错误 ⋅session漏洞：知道别人的sessionid就能强制访问需登录的页面 更多帖子 关注私信空间博客 askquestion_007 等级 本版专家分：0: 有没有人关注该问题？

2013-06-05 15:49:53

点赞 1 只看TA 引用举报 #5得分 0

⋅小丑哥_V5的留言板 ⋅本人正持续更新Spring Boot从入门到进阶教程系列顺便散分咯,欢迎拍砖关注哈,谢谢同学!!! ⋅关于map结构转成bean的实现,寻求帮忙实现的大婶 更多帖子 关注私信空间博客 版主 小丑哥_V5 等级 本版专家分：5136: 现在一般处理这个问题都是登录后,重新更新session,象security那样重新生成一个session
tomcat7应该是有改进这个漏洞,好像是加入了随机数,具体你可以看下tomcat7的新特性,防止session伪造攻击

2013-06-05 15:53:45

点赞只看TA 引用举报 #6得分 0

⋅小丑哥_V5的留言板 ⋅本人正持续更新Spring Boot从入门到进阶教程系列顺便散分咯,欢迎拍砖关注哈,谢谢同学!!! ⋅关于map结构转成bean的实现,寻求帮忙实现的大婶 更多帖子 关注私信空间博客 版主 小丑哥_V5 等级 本版专家分：5136: 引用 6 楼 shadowsick 的回复:
现在一般处理这个问题都是登录后,重新更新session,象security那样重新生成一个session
tomcat7应该是有改进这个漏洞,好像是加入了随机数,具体你可以看下tomcat7的新特性,防止session伪造攻击

还有session劫持

2013-06-05 15:57:14

点赞只看TA 引用举报 #7得分 0

⋅ 为什么httpClient.executeMethod超时时间无效 ⋅Firefox中XMLHttpRequest返回结果在错误控制台报--语法错误 ⋅session漏洞：知道别人的sessionid就能强制访问需登录的页面 更多帖子 关注私信空间博客 askquestion_007 等级 本版专家分：0: 重置session也没用啊，只要我想截获的那个人处于登录状态，就会在cookie中存在sessionid(不论你怎么变)，我通过抓包工具抓到cookie得到最新的sessionid，就可以强制访问

2013-06-05 16:36:08

点赞只看TA 引用举报 #8得分 0

⋅ 为什么httpClient.executeMethod超时时间无效 ⋅Firefox中XMLHttpRequest返回结果在错误控制台报--语法错误 ⋅session漏洞：知道别人的sessionid就能强制访问需登录的页面 更多帖子 关注私信空间博客 askquestion_007 等级 本版专家分：0: 只有自己实现sessionid机制，比如加盐绑定ip地址，但ip同样可以伪造 5555555555

2013-06-05 16:37:31

点赞只看TA 引用举报 #9得分 0

⋅eclipse触发某按钮有几率关闭问题 更多帖子 关注私信空间博客 杰少_ 等级 本版专家分：25: if(user==null){
请登录
}

2013-06-06 03:29:47

点赞 1 只看TA 引用举报 #10得分 0

1 2

收起

收藏回复

askquestion_007

等级：

关注私信 TA的帖子

session漏洞：知道别人的sessionid就能强制访问需登录的页面

postman躲避sessionid用户登录判断，: 1.找到sessionid，发送时带上sessionID 找sessionid方法第一种第二种随便点击一个链接查看发送的请求头第三种找到google浏览器中的cookie信息，查看localhost中的cookie的session 2.postman发送...

Session劫持攻击: 2019独角兽企业重金招聘Python工程师标准>>> ...

Java面试题大全（2020版）: 本套Java面试题大全，全的不能再全，哈哈~ 一、Java 基础 1. JDK 和 JRE 有什么区别？ JDK：Java Development Kit 的简称，java 开发工具包，提供了 java 的开发环境和运行环境。 JRE：Java Runtime Environ...

2020最新Java面试题，常见面试题及答案汇总: 发现网上很多Java面试题都没有答案，所以花了很长时间搜集整理出来了这套Java面试题大全，希望对大家有帮助哈~ 一、Java 基础 1. JDK 和 JRE 有什么区别？ JDK：Java Development Kit 的简称，java 开发工具包，...

使用session监听+spring MVC拦截器禁止用户重复登录: 在许多web项目中，需要禁止用户重复登录，及

HTTP Session 攻击与防护: 本文转载自：https://devco.re/blog/2014/06/03/http-session-protection/ 本文未排版，原文排版更好侵删HTTP Session 攻击与防护By...当时除了网站本身以外，受害最严重的就属VPN Server了。国内外不少骇客不眠不休

Web安全-会话ID漏洞: 概述以下摘自《白帽子讲 web 安全》 ...这个凭证就是SessionID。当用户登陆完成后，在服务器端就会创建一个新的会话(Session)，会话中会保存用户的状态和相关信息。服务器端维护所有在线用户的...

Tomcat的SessionID引起的Session Fixation和Session Hijacking问题: 上一篇说到《Spring MVC防御CSRF、XSS和SQL注入攻击》，今天说说SessionID带来的漏洞攻击问题。首先，什么是Session Fixation攻击和Session Hijacking攻击问题? 说来话长，非常具体的解释查看我这个pdf文件：...

客户端session安全问题(flask): 前几天看p牛的文章，学习了一波关于客户端session的操作，文末提到了密钥泄露，进一步可能造成身份伪造或者反序列化漏洞，于是自己搭了个flask环境做一下伪造身份的复现并做一下记录。 #0x01什么是客户端session ...

PPPoE***2：PADR耗竭sessionid: 这是一个漏洞：如果我们进行Dos***，冒充合法客户端，不断进行PADR请求，能否将sessionid耗竭，从而达到合法用户不能登录的结果？我在软路由routeros上测试发现：不会的。当会话建立的时候，如果client不能及时进行...

php将session信息写入数据库: 本文转自... php默认使用文件来保存session数据，我们可以定义自己的session处理器来将session信息保存到数据库或其他地方下面是php.ini中session的配置说明： ...session.save_handler = "files

用户登录后更换会话ID: 用户登录后更换会话ID

完全PHP5笔记之(COOKIE与SESSION篇): 我学习COOKIE与SESSION 时，几乎把社区所有相关的帖子都下载了，研究过后，总结了这么点东西，权做备案，日后需要再慢慢查阅！如果有人觉得这篇博客里的内容似曾相识也不要奇怪，这只是笔记，没有侵犯版权的意思。...

PHP cookie session: 这个比较详细，原文地址：http://chenling1018.blog.163.com/blog/static/148025420091286756285/ 1、HTTP协议本身是无状态的。我们上网都要靠HTTP协议传递信息。比如我们在浏览器里键入：www.bokee.com这...

cookie和session的区别及用法（PHP5）: cookie和session的区别以及各自的用法

用户认证之Session: 当登录成功后，就需要替换一个对用户透明的凭证，就是SessionID。当用户登录完成后，在服务器端就会创建一个新的会话（Session），会话中保存用户的状态和相关信息。服务器端维护所有在线用户的Session，此时的...

5 - django-csrf-session&cookie: 文章目录1 CSRF跨站请求伪造1.1 CSRF攻击介绍及防御1.2 防御CSRF攻击1.2.1 验证 HTTP Referer 字段1.2.2 在请求地址中添加 token 并验证1.2.3 在 HTTP 头中自定义属性并验证1.2.4 django csrf ...Session2.1 cookie...

COOKIE与SESSION比较: 1、HTTP协议本身是无状态的。我们上网都要靠HTTP协议传递信息。比如我们在浏览器里键入：www.bokee.com这个网址并回车，你会发现网址会变成：http: //www.bokee.com，其原因就是浏览的网页是基于http协议的。...

Session攻击手段(会话劫持固定)及其安全防御措施: 然而，由于Http的无状态性，为了维持来自同一个用户的不同请求之间的状态，客户端必须发送一个唯一的身份标识符（Session ID）来表明自己的身份。很显然，这与前面提到的安全原则是相违背的，但是没有办法，为了维持...

前端面试题: 你做的页面在哪些流览器测试过？这些浏览器的内核分别是什么? 21 每个HTML文件里开头都有个很重要的东西，Doctype，知道这是干什么的吗？ 21 Quirks模式是什么？它和Standards模式有什么区别 21 div+css的布局较...

PHP漏洞全解: PHP漏洞全解(一)-PHP网站的安全性问题针对PHP的网站主要存在下面几种攻击方式： 1、命令注入(Command Injection) 2、eval注入(Eval Injection) 3、客户端脚本攻击(Script Insertion) 4、跨网站脚本...

Xshell6完美破解版，亲测可用: Xshell6破解版，亲测可用，分享给大家。直接解压即可使用

个人简历模板: 优质简历模板，目前最前全的模板收藏，需要换工作的小伙伴们可以试试

30分钟彻底学会C语言指针视频教程: 此课程是黄强老师针对C、C++指针的专题课程，通过对指针本质的讲解，帮助学员对指针的理解，并讲结合真实企业开发中指针的使用技巧，从而帮助学员高效，、灵活的掌握指针相关难点！ a:0:{}

Android开发精典案例60个【源码】: 60个Android开发精典案例，好东西 - 给大家分享60个Android开发的精典案例，包含任务监听、设备适配，游戏框架搭建，特效实现，多点触控，网络协议，游戏关卡设置等内容。特别是做游戏开发的朋友值得研究。喜欢就拿走吧！

MFC上位机与STM32下位机通讯精讲: 本课程主要介绍C++类库MFC上位机与STM32单片机的RS232、RS422、RS485、USB、LWIP以太网、CAN等接口进行稳定通信。课程主要从MFC和STM32基础开始，以编写上位机以及下位机为主，非常注重实践。本课程主要目标是让大家学会MFC上位机的编程、STM32下位机编程。单单的会上位机或者下位机有时候体会不到通讯的乐趣，如果你单单会下位机，你学了本课程，你可以把你的数据以任何方式在windows上呈现出来，如果你只会上位机，你学了本课程你可以通过windows的串口、以太网、USB控制任何硬件设备。本课程的目标就是补偿大家的短处，让大家成为综合性人才，同时让大家体会到通讯中的更多乐趣。

C语言游戏代码大全: 双人贪吃蛇，别踩白方块，玫瑰花，矿井逃生等多种C语言游戏代码等你来实践！

Parallels Desktop 16 联网启动脚本.command: Parallels Desktop 16 联网启动脚本.command 管理员运行就能上网（Mac 虚拟机：Parallels Desktop v16.0.1-48919 TNT 直装版支持 macos 11）

C#高性能大容量SOCKET并发完成端口例子（有C#客户端）完整实例源码: 例子主要包括SocketAsyncEventArgs通讯封装、服务端实现日志查看、SCOKET列表、上传、下载、远程文件流、吞吐量协议，用于测试SocketAsyncEventArgs的性能和压力，最大连接数支持65535个长连接，最高命令交互速度达到250MB/S（使用的是127.0.0.1的方式，相当于千兆网卡1Gb=125MB/S两倍的吞吐量）。服务端用C#编写，并使用log4net作为日志模块；同时支持65536个连接，网络吞吐量可以达到400M。

相关热词 c#线程池类 c#如何遍历容器 c#16进制加法 c#事件订 c# linq xml c# udp 多个客户端 c# 程序应注意事项 c# json 接口开发 c# 按行txt c#怎么扫条形码