Asp.net安全架构之2:Session hijacking(会话劫持)

晨曦之光 发布于 2012/06/08 08:59
阅读 239
收藏 0

原理

会话劫持是指通过非常规手段,来得到合法用户在客户端和服务器段进行交互的特征值(一般为sessionid),然后伪造请求,去访问授权用户的数据。

获取特征值的非常规有段主要有如下几种:

首先是猜测的方式,如果我们的sessionid的生成是有规律的,那么使用猜测的方式就可以到达非法获取的目的,如图所示:

 

其次是session fixation攻击。session fixation攻击是指用户通过XSS、网络嗅探、本地木马来得到特征值,这些交互的特征值一般来说放置在浏览器的Cookie中(当然,我们也知道sessionid也可以通过URL来传递,这样的话,获取就简单多了)。然后诱使用户去完成一次登录(诱使的方法可使发邮件,发链接等)。如果服务器没有更新这个SessionID,则攻击者可以凭借此SessionID登录系统,如图所示:

在特征值被获取到之后,攻击者还可以使用Session保持攻击,这一般是指写一段小代码,定时发送请求,保持Session有效。这样,攻击者,就可以一直利用这个合法用户进行非法活动。

实际案例

http://yourdomain.com/default.aspx界面,我们偷到了sessionID,然后就可以模拟这样的请求来完成一次攻击。一次攻击是指,拿上如下的请求,我们可以在任意客户端进行登录。

User-Agent: Fiddler

Host: 192.168.40.193

Cookie: LoginName=luminji; ASP.NET_SessionId=xzyplp45wgl3rf45ssxt5h55;

同时,在客户端写一段脚本,还可以完成Session保持攻击。经过这样的处理后,非法用户不用登录系统就可以访问任意页面了。

应对策略

1:为Cookie设置httpOnly,就可以有效防止Cookie被非法读取,从而防止劫持;

2:每次登录更换SessionID。

具体措施

n  查看sessionid生成策略,确保不可被猜测

备注,sessionid在asp.net程序中是被自动生成为GUID形式的,所以在Asp.net程序中该项不需要被修改。

n  查看sessionid保存策略,确保不通过URL进行传递

n  每次登录更换sessionid

改进登录模块,每次登录更换sessionid。更换sessionid并不会影响有些站点的类似“一个星期”都不用登录的功能。如果攻击者不是从合法用户的本机获取的sessionid,那么完成此次升级后,session fixation攻击就被阻断了。

更换SessionID的函数为:

private void ChangeSessionID() { SessionIDManager m = new SessionIDManager(); m.RemoveSessionID(Context); HttpApplication ctx = (HttpApplication)Context.ApplicationInstance; HttpModuleCollection mods = ctx.Modules; SessionStateModule sessionStateModule = (SessionStateModule)mods.Get( " Session " ); System.Reflection.MethodInfo CreateSessionId = sessionStateModule.GetType().GetMethod( " CreateSessionId " , BindingFlags.Instance | BindingFlags.NonPublic); System.Reflection.MethodInfo InitStateStoreItem = sessionStateModule.GetType().GetMethod( " InitStateStoreItem " , BindingFlags.Instance | BindingFlags.NonPublic); CreateSessionId.Invoke(sessionStateModule, null ); SessionStateUtility.RemoveHttpSessionStateFromContext(Context); InitStateStoreItem.Invoke(sessionStateModule, new object[] { true }); FieldInfo sessioninfo = this .GetType().BaseType.BaseType.GetField( " _session " , BindingFlags.NonPublic | BindingFlags.Instance ); sessioninfo.SetValue( this , HttpContext.Current.Session); }

 

n  确保登录逻辑不仅仅依赖sessionid

如果登录逻辑不仅仅依赖sessionid,攻击者将需要得到全部的特征值(一般情况下,就是说意味着他要得到全部和登录相关的cookie值),这加大了攻击难度。

n  确保Cookie的httponly

通过文件查找所有的”cookie”,找出所有设置cookie的地方,为用于认证的cookie设置如下的格式:

Set-Cookie: cookieName=cookieValue;httponly


原文链接:http://www.cnblogs.com/luminji/archive/2012/05/30/2511357.html
加载中
返回顶部
顶部