序
上一篇文章中,我们讨论了关于“浏览器记住用户名和密码
”的问题,至于这篇文章嘛,我想谈谈关于“会话标识
”的漏洞。而且,这篇文章也是“Web安全实战”系列的最后一篇。为什么要拿到最后来说呢,其实,是之前一直困扰我的问题,这个问题曾一顿让我抓狂,n(n=3~5)多天一直没有解决,当时也是搜遍了各大网站,各大论坛,均未找到合适的解决方案。其中的过程就不再废话了,转到正题。
问题
先介绍一下问题是如何发现的,当然,这个不是我发现的,是我们测试部的童鞋发现的漏洞,然后她转交给我,让我去解决这个问题。刚开始也是一点思路都没有,然后就是一顿狂搜,后来慢慢发现,其实这个问题产生的根源,就是应用服务器(如 Tomcat)的 JSessionId 没有更新。只要使得旧的 Session 过期,重新生成新的 Session 即可。当然,这是理论上的解决方案,很想当然的。
曲折过程
有了思路之后,再想解决问题就容易了很多。于是,我就把范围固定在了如何让 Session 过期,当然,这样的解决方案网上