固定会话攻击场景复现

固定会话攻击场景复现

什么是会话固定攻击？
会话固定攻击（session fixation attack）是利用应用系统在服务器的会话ID固定不变机制，借助他人用相同的会话ID获取认证和授权，然后利用该会话ID劫持他人的会话以成功冒充他人，造成会话固定攻击。
攻击分析
攻击的整个过程，会话ID是没变过的，所以导致此漏洞。
更多攻击例子可以参考：https://www.owasp.org/index.php/Session_fixation

1.环境部署：

部署门户网站cms
新建cms数据库，并还原备份

在本地浏览器访问

2.BP抓包分析

在kali中打开bp,并使用其自带的浏览器访问client2016的门户网站的后台管理