ESAPI之会话安全

时间 2019-11-10

原文原文链接

ESAPI是开源组织owasp，开放的安全开发框架，但百度、google搜索相关的技术文章不多，今天小尝试了一下，分享一下心得。html

会话攻击，简单理解就是盗用窃取用户的cookie，假装成用户，向服务器端发送请求，窃取用户私密信息。java

具体如何防止会话攻击，很简单，参照《Web应用安全威胁与防治--基于OWASP TOP 10 与ESAPI》书中介绍的方法，一旦用户登陆成功后，立刻validate用户的会话，具体步骤以下：api

用户输入用户名和密码

系统对用户进行验证经过

已有的会话信息若是仍然须要，则转移到一个临时变量中去

invalidate当前会话

建立一个新会话

把临时变量中保存的会话信息恢复到新建立的会话中去

用户使用这个新的会话登陆到系统中并进行操做

贴出实例安全

构造一个简单登陆页面服务器

[html] view plain copy print ?

验证成功的页面cookie

[html] view plain copy print ?

而后是一个LoginServlet，其中DefaultHTTPUtilities是ESAPI中org.owasp.esapi.reference.DefaultHTTPUtilities类，该类的changeSessionIdentifier(request)，就是实现上述功能。session

[java] view plain copy print ?

贴出changeSessionIdentifier(request)方法源码框架

[java] view plain copy print ?

public HttpSession changeSessionIdentifier(HttpServletRequest request) throws AuthenticationException {
// get the current session
HttpSession oldSession = request.getSession();
// make a copy of the session content
Map<String,Object> temp = new ConcurrentHashMap<String,Object>();
Enumeration e = oldSession.getAttributeNames();
while (e != null && e.hasMoreElements()) {
String name = (String) e.nextElement();
Object value = oldSession.getAttribute(name);
temp.put(name, value);
}
// kill the old session and create a new one
oldSession.invalidate();
HttpSession newSession = request.getSession();
User user = ESAPI.authenticator().getCurrentUser();
user.addSession( newSession );
user.removeSession( oldSession );
// copy back the session content
for (Map.Entry<String, Object> stringObjectEntry : temp.entrySet())
{
newSession.setAttribute(stringObjectEntry.getKey(), stringObjectEntry.getValue());
}
return newSession;
}