是什麼阻止黑客攔截現時並使用它？

Question

比方說，一個頁面顯示給一個經過驗證的用戶，上面有各種刪除鏈接。每個鏈接都有一個隨機數。什麼是防止黑客窺探該連接並獲得隨機數，然後立即使用它來欺騙已驗證的用戶並使用隨機數來刪除大量數據？

Answer 1

沒什麼。通過阻止嗅探，SSL可以提供一些幫助。你指的是被稱爲會話Sidejacking

http://en.wikipedia.org/wiki/Session_hijacking

我也曾在這裏desribed你怎麼能輕易sidejack一個 Facebook的會話：

http://madhur.github.com/blog/2011/06/12/facebooksessionhijacking.html

LinkedIn會議：

http://www.wtfuzz.com/blogs/linkedin-ssl-cookie-vulnerability/

Answer 2

加密連接/ HTTPS？

Answer 3

nonce - 包括由服務器創建的鏈接，因此服務器獨立地知道它提供給用戶Adam的隨機數是X（它將隨機數與Adam的會話相關聯）。

如果馬洛裏嗅着現時但不能也劫持亞當的會議，那麼服務器會知道這樣的僞造請求（與馬洛裏的會話和他的不同的隨機數Ÿ相關）是絕對無效並拒絕他們。

然而，對於現時的存在的原因是不以上，因爲在實踐中，有人誰可以嗅出現時幾乎可以肯定會劫持會話也是如此。

相反，它使得「Mallory」無法提前猜測的「正確」刪除鏈接。這意味着成功的攻擊必須在亞當會議有效的時間內進行協調和執行，這大大減少了攻擊面「我今天可以編寫腳本，亞當可能在10年內擊中我的礦井，它仍然會工作「以前的事態。