91超碰碰碰碰久久久久久综合_超碰av人澡人澡人澡人澡人掠_国产黄大片在线观看画质优化_txt小说免费全本

溫馨提示×

溫馨提示×

您好，登錄后才能下訂單哦！

密碼登錄×
登錄注冊×
其他方式登錄
點擊 登錄注冊 即表示同意《億速云用戶服務條款》

誰動了我的琴弦——會話劫持

發布時間：2020-06-19 19:20:51 來源：網絡 閱讀：284 作者：博文視點 欄目：安全技術

 

誰動了我的琴弦——會話劫持
讓我們看一個最常見的例子——會話劫持，如圖10-2所示。
誰動了我的琴弦——會話劫持
 
圖10-2 會話劫持說明
如圖10-2所示，受害者Alice正常的登錄網站為www.buybook.com，此時她的Session ID是1234567，***者Bob通過網絡嗅探獲得了Alice的Session ID和Cookie中的用戶登錄信息，這樣他就可以模仿Alice進行登錄和操作了，而此時此刻Alice可能毫無所知。
最常見的獲取Session ID的方式就是我們前面講解的XSS。下面通過具體的步驟詳細地模擬會話劫持。
➊我們正常地登錄一個網站（這里用Google Chrome），登錄的用戶名是admin，記錄好登錄后的JSESSIONID，如圖10-3所示。
誰動了我的琴弦——會話劫持
 
圖10-3 正常登錄的Session ID
➋我們打開另一個瀏覽器Firefox，我們嘗試訪問一個私密鏈接：http://localhost/ puzzlemall/private/viewprofile.jsp，這時瀏覽器會提示我們登錄。這說明這個鏈接需要登錄以后才能觀看，如圖10-4所示。
誰動了我的琴弦——會話劫持
 
圖10-4 我們在嘗試訪問一個私密鏈接
➌ 打開WebScrab并開啟Proxy中的“Intercept requests”功能，并把Firefox的代理設置成WebScrab的IP和端口（8008），然后再次訪問這個私密鏈接，這時WebScrab會截獲這個請求，然后修改JSESSIONID為上面admin用戶的JSESSIONID，如圖10-5所示，提交。
誰動了我的琴弦——會話劫持
 
圖10-5 利用WebScrab抓取并修改請求
➍ 這時我們會發現進入了admin用戶的個人信息（profile）頁面。這說明我們成功地以admin用戶的身份進行了登錄，如圖10-6所示。當然了，這個例子只是一個會話劫持的模擬，在實際的網絡中，JSESSIONID往往是通過XSS泄露出去的（或者沒有走安全的協議而被嗅探）。
誰動了我的琴弦——會話劫持
 
圖10-6 成功地利用別人的會話訪問了私密頁面
 
本文節選自《Web應用安全威脅與防治——基于OWASP Top 10與ESAPI》
誰動了我的琴弦——會話劫持
王文君李建蒙編著
電子工業出版社出版
 
向AI問一下細節

免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。

AI
助
手
元朗区| 安仁县| 长岭县| 白朗县| 南木林县| 永仁县| 香格里拉县| 莱西市| 峨边| 内黄县| 水富县| 双江| 宜丰县| 宽甸| 双鸭山市| 内黄县| 东乡县| 德化县| 永州市| 城固县| 汉中市| 桑日县| 白朗县| 阳谷县| 珲春市| 肇州县| 左云县| 广安市| 台前县| 石柱| 兴业县| 甘南县| 阿坝县| 巴彦县| 赫章县| 乌拉特前旗| 永福县| 哈巴河县| 桓台县| 漯河市| 周至县|