会话固定攻击简单说明

Session fixation attack(会话固定攻击)是利用服务器的session不变机制，借他人之手获得认证和授权，然后冒充他人。 

1.Attacker先打开一个网站http://www.baidu.com，然后服务器会回复他一个session id。比如SID=abcdefg。Attacker把这个id记下了。 
2.Attacker给UserA发送一个电子邮件，他假装是什么推销什么，诱导UserA点击链接http://unsafe/?SID=abcdefg，SID后面是Attacker自己的session id。 
3.UserA被吸引了，点击了http://unsafe/?SID=abcdefg，像往常一样，输入了自己的帐号和口令从而登录到银行网站。 
4.因为服务器的session id不改变，现在Attacker点击http://unsafe/?SID=abcdefg后，他就拥有了Alice的身份。可以为所欲为了。 


以后看到发来的地址带有一串id的比如 
SID=abcdefg
jsessionid=abcdefg
的，就要长个心眼了，以防是别有用心之人盗取你的账号。 


解决方案，可以是在用户登录成功后重新创建一个session id,而不是用原来的那个id。