谁动了我的琴弦——会话劫持
让我们看一个最常见的例子——会话劫持,如图10-2所示。
图10-2 会话劫持说明
如图10-2所示,受害者Alice正常的登录网站为www.buybook.com,此时她的Session ID是1234567,攻击者Bob通过网络嗅探获得了Alice的Session ID和Cookie中的用户登录信息,这样他就可以模仿Alice进行登录和操作了,而此时此刻Alice可能毫无所知。
最常见的获取Session ID的方式就是我们前面讲解的XSS。下面通过具体的步骤详细地模拟会话劫持。
➊ 我们正常地登录一个网站(这里用Google Chrome),登录的用户名是admin,记录好登录后的JSESSIONID,如图10-3所示。
图10-3 正常登录的Session ID
➋ 我们打开另一个浏览器Firefox,我们尝试访问一个私密链接:http://localhost/ puzzlemall/private/viewprofile.jsp,这时浏览器会提示我们登录。这说明这个链接需要登录以后才能观看,如图10-4所示。
图10-4 我们在尝试访问一个私密链接
➌ 打开WebScrab并开启Proxy中的“Intercept requests”功能,并把Firefox的代理设置成WebScrab的IP和端口(8008),然后再次访问这个私密链接,这时WebScrab会截获这个请求,然后修改JSESSIONID为上面admin用户的JSESSIONID,如图10-5所示,提交。
图10-5 利用WebScrab抓取并修改请求
➍ 这时我们会发现进入了admin用户的个人信息(profile)页面。这说明我们成功地以admin用户的身份进行了登录,如图10-6所示。当然了,这个例子只是一个会话劫持的模拟,在实际的网络中,JSESSIONID往往是通过XSS泄露出去的(或者没有走安全的协议而被嗅探)。
图10-6 成功地利用别人的会话访问了私密页面
本文节选自《Web应用安全威胁与防治——基于OWASP Top 10与ESAPI》
王文君 李建蒙 编著
电子工业出版社出版
分享到:
相关推荐
【3D琴弦酷炫效果展示】是一种创新的前端特效,它主要应用于网站设计和交互体验中,带给用户视觉上的震撼和操作上的新颖感。这种效果通常基于HTML5、CSS3以及JavaScript技术实现,旨在增强网页的动态表现力,使文字...
【琴弦细粒分级筛】是一种在工业生产中广泛应用的机械设备,主要用于对各种颗粒状物料进行精细化筛选。这种筛分设备通常由多个不同规格的筛网组成,通过振动原理将物料按照粒度大小进行分离,以满足不同工艺流程的...
matlab模拟琴弦振动发音,matlab模拟小提琴发音,matlab课设
该PPT课件以"命若琴弦"为主题,探讨了人生目标、生命意义以及如何面对困境的问题。主要内容包括以下几个知识点: 1. **人生目标的重要性**:通过老瞎子和小瞎子的故事,展示了目标对人生的重要作用。老瞎子为治好...
【中考物理复习——八年级上册(知识填空+练习).doc】 这是一份针对初中生中考物理复习的文档,涵盖了八年级上册的主要物理知识,主要包括机械运动和声现象两个章节。 1. **机械运动** - **长度单位**:国际单位是...
《命若琴弦》是史铁生的一部短篇小说,通过讲述两位盲艺人的人生历程,探讨了生命的意义和希望的力量。小说中的老瞎子和小瞎子,以弹三弦琴为生,他们的生活充满了困苦和挑战,但他们却在艰难中找到了生存的信念。 ...
波动源是指产生机械振动的物体,如扬声器的振动膜或琴弦的振动。弹性介质则是指能够传递机械振动的物质,如空气、水或固体。当波动源在弹性介质中振动时,其振动会通过介质中的相邻质点相互作用而传播开来,形成机械...
我们考虑开放弦在弱弯曲背景中运动的理论,该理论由常数度量和依赖于线性坐标的Kalb-Ramond场组成,场强无限小。 我们使用针对闭合弦在弱弯曲背景下移动而开发的广义Buscher程序找到了它的T对偶,并且通过求解边界...
例如他的代表作品《我的遥远的清平湾》、《命若琴弦》、《务虚笔记》以及《我与地坛》等。 2. **理解象征意义**:通过合作探究的方式,使学生理解“合欢树”这一元素在文中所承载的多重象征意义。这些象征意义不仅...
IP视频监控百事通工具系列,由安防行业富实证的网络团队执笔,将高深的网络理论通俗化为科普范本,使得复杂的网络知识不再是IP监控技术发展的障碍。本书结合若干小故事+真实问题,从监控业务应用者的视角,以单点...
《命若琴弦》是著名作家史铁生的一部短篇小说,以其深邃的主题和动人的故事,引发读者对生命意义的深思。故事围绕两位盲眼的说书艺人展开,他们各自怀揣着一个关于希望的谎言,以此维系生存的意志。通过这两个角色的...
一本介绍弦论的科普著作 内容精彩生动 量子物理学的经典科普作品
我们研究在特殊场论(或特殊广义几何)中出现的扩展几何形状中的D射线。 从特殊的sigma模型(具有额外目标空间坐标的E d(d)协变世界表动作)开始,我们定义了开放字符串边界条件。 我们记下了与保留麸皮半最大超...
本资源是琴弦jerry的android游戏开发笔记 系列文章1 的代码和文章。文章可以访问http://www.jerry-zhang.com/index.php/2011/09/28/android-game-dev-1-ondraw-ontouch-onkey-a-mouse/ 浏览。代码是该文章中的项目源...
《命若琴弦》是史铁生的一部短篇小说,这部作品以其深邃的哲理性和感人的情节,探讨了人类存在的意义和面对命运的态度。史铁生本人的经历,尤其是他的身体残疾,使他对人生有着深刻而独特的理解。在他的作品中,我们...
命若琴弦读后感精选.doc
命若琴弦读后感参考.doc
电子政务-不导电的琴弦.zip
在本资源中,"C 代码 建立并求解描述的偏微分方程(PDE)一根振动的琴弦.rar" 提供了一种使用C语言来模拟和求解物理问题的方法,具体是针对一根振动的琴弦的偏微分方程。这种问题在工程、物理和数学中广泛出现,因为...
14. 控制琴弦长度改变声音的音调,声音通过空气传播,关闭手机或调成振动是为了在声源处减弱噪声。 15. 冷冻食品变干是升华现象,霜的形成是凝华,冰块粘手是凝固现象。 这些知识点涵盖了物理声学、光学、力学、...