session-fixation

-1熱度

1回答

好吧我試圖在我的本地主機上測試會話固定/劫持。我想給我的URL從SID從攻擊者到受害者，並讓受害者在該URL登錄。但是當受害者登錄時，攻擊者刷新頁面並仍然在登錄頁面中。然後我發現，如果我在瀏覽器中有兩個登錄選項卡，受害者在選項卡1登錄，但選項卡2在刷新後不會自動登錄。所以這可能就是爲什麼我的攻擊者停留在登錄頁面上？我的問題是，如果他已經在一個選項卡中登錄，我需要在我的php文件中自動登錄其他

-1熱度

1回答

如何做會話固定？

有人能解釋一下會話固定是如何工作的嗎？在我的本地服務器我上傳的文件與此代碼： <?php session_start(); if (!isset($_SESSION['count'])) $_SESSION['count'] = 0; else ++$_SESSION['count']; echo $_SESSION['count']; ?> 我在瀏覽器的地址設置：http://lo

6熱度

2回答

在登錄時生成一個新的SessionID（ASP.NET）

我試圖在一個相當大的ASP.NET Web應用程序（C＃）上工作一些安全問題。爲了防止會話固定攻擊，我希望每次用戶驗證自己時都生成一個新的會話ID。但是，我只想生成一個新的會話ID而不會丟失會話的其餘部分。關於這個話題做一些研究之後，我發現一對夫婦工作的解決方案：解決方案1：Generating new SessionId in ASP.NET 這表明通過將其設置爲空字符串手動清除會話cooki

0熱度

2回答

這些關於會話固定的例子是什麼意思？

第一示例 <?php session_start(); if(!isset($_SESSION['count'])) $_SESSION['count'] = 0; else ++$_SESSION['count']; echo $_SESSION['count'] . "<br />"; ?> 第二示例 <?php session_start(); if(!isset($_

1熱度

2回答

如果我不送通過URL，我需要循環我的會話ID在登錄

我聽說我的網站可以被黑客遭到攻擊誰會話ID：去我的網站啓動會話。不知怎的讓客戶去我的網站使用相同的會話ID 的客戶端登錄當攻擊者又回到我的網站，他已經完全進入到客戶賬戶中的會話ID。如果會話ID由url傳遞，並且循環它（session_regenerate_id）是有意義的，但是如果我只是使用session_start並且沒有將會話ID放入url在任何時間點？

0熱度

1回答

會話固定，關閉register_globals仍然是一個問題？

我一直在閱讀到關於PHP安全一些文章，我碰到這個文章就來了： http://shiflett.org/articles/session-fixation 本文介紹了一個可以很容易地通過傳遞URL請求PHPSESSID變量（例如固定會話?PHPSESSID=1234）。然而，當我在PHP.ini中將register_globals設置爲off並且因此在url請求中使用?PHPSESSID=1234時

2熱度

1回答

如何在用戶登錄liftweb後更改JSESSIONID的值？

我想，以防止在用戶登錄後更改JSESSIONID會話固定漏洞。我使用的是SessionVar存儲用戶數據，並S.session.open_!.destroySessionAndContinueInNewSession無效舊的會話，並創建在登錄時新的。但是，它不起作用。 JSESSIONID的值完全不變。它仍然是一樣的。我也嘗試登出使用： S.session.open_!.destroySes

1熱度

2回答

Joomla 2.5中的會話固定問題

這可能會導致的影響：可能會竊取或操縱客戶會話和Cookie，這可能用於冒充合法用戶，允許黑客查看或更改用戶記錄，以及以該用戶的身份執行交易。建議的防止會話修復攻擊的解決方案是在用戶登錄時更新會話ID。此修復可以在代碼級別或框架級別完成，具體取決於會話管理功能的實現位置。我試圖找到一個解決方案，但仍然不成功。任何人都可以幫助如何解決這個在Joomla 2.5？我想在框架級別實現此修復。任何幫助

1熱度

1回答

我怎樣才能防止在php項目中的會話固定？

我知道會話固定是在php中破解網站的方法。會話固定是一種攻擊，它允許攻擊者劫持一個有效的用戶會話 session fixation 但我不知道能不能避免這個問題在我的項目。是描述解決方案的方式或樣本。

0熱度

1回答

Spring Security 3.2 CSRF令牌 - 如何通過攔截POST請求修改後參數時保護？

我是Spring Security的新手;在教程的幫助下，我可以在內存認證和CSRF令牌中設置。這工作正常;用戶進行身份驗證並生成令牌。問題：當我使用fiddler攔截我自己的表單帖子時，修改POST參數並執行HTTP POST請求，它會成功提交200 OK代碼的請求。在這種情況下，我期待着403。我認爲實現這一目標的一個解決方案是爲每個請求生成令牌，而不是每個會話。但是這種方法有它自己的問題