渗透测试之网站SESSION安全

这一部份内容的重中之重是session和cookie，客户在安全使用app系统时，如何根据客户的身份提供不一样的功能和相关数据，每一个人都有这样的体验。例如，访问淘宝，不会把本身喜欢的商品加入别人的购物车，如何区分不一样的客户？打开任何网站，抓住包看，cookie的字段都存在。cookie伴随着客户的操做自动提交给服务器方面，想区分认证前和认证后来到客户方面，用户认证成功后能够在cookie上写上标志，服务器在处理请求时判断该标志便可。

对于标志的设置，若是直接将客户称直接以明确或加密的方式放置在cookie中，若是加密方式被破解，则可能伪造客户的身份，所以在cookie中直接插入客户的身份信息是不可取的。对于客户身份的设置，还有session机制，在用户认证成功后，将客户的我的信息和身份信息写入session，在cookie中的表现只出现sessionID，服务器方面经过该sessionID在服务器上找到指定的数据，敏感的数据存在于服务器方面，sessionID的值是随机字符串，攻击者很难推测其余用户的sessionID，从而伪造客户的身份。当咱们安全使用xss漏洞时，咱们都喜欢得到客户的cookie。得到cookie后，最重要的字段是sessionID。有了他，咱们能够伪造他人的身份并得到他人的数据。

根据会话内容，能够完成如下操做:

做业1:经过搜索引擎，寻找能够注册的几个网站，burp抓住包分析注册后的对话是如何实现的，是否用session保存用户信息，token是否能够伪造，是否在cookie保留用户信息等。做业2:基于之前的做业，开发的登陆认证页面，认证成功后，对不一样的帐户设定不一样的权限，分别用cookie和session来显示客户的身份，测试不一样的显示方式可能存在的安全风险。记录测试过程和结果、相关代码和设计构想造成报告，共享，共同探讨。

目前对于网站和APP安全漏洞上对于获取SESSION和COOKIES的问题比较多，不少程序员对一些提交功能没有作更多的过滤，致使被插入了恶意XSS代码从而获取到了后台权限，若是你们想要更全面的检测安全漏洞问题的话能够像国内的网站安全公司寻求人工渗透测试服务的帮助。