Перехват пользовательской сессии


7 0

Сегодня прочитал в журнале Хакер в типсах следующий вариант атаки:

1. Злой дядька входит на атакуемый сайт и авторизуется на нем. Запоминаем свой SessionID

2. 3лоумышленник подкидывает неавторизованному на сервере пользователю ссылку на скрипт с сервера, который устанавливает куки с идентификатором злоумышленника.

Это реально возможно? Неужели где-то возможен вариант на сайте, где имя Cookie переменной или ID сессии может задать пользователь сайта? Да за такие вещи нужно расстреливать. Сталина на них нет. 

Никогда в жизни пользователь не должен иметь возможности изменить ID своей сессии. Никогда в жизни ни одно имя переменной Cookie не должно задаваться пользователем. Я даже представить себе не могу что происходило в голове программиста, если кто-то смог реализовать подобное. 

Или в журнале просто выдумали этот вариант взлома просто для красоты? Там конкретный сайт не назывался, поэтому меня очень удивило, какой скрипт на сайте может захотеть задавать ID сесии, принимая значения через параметры. 


Понравилось? Кликни Лайк, чтобы я знал, какой контент более интересен читателям. Заметку пока еще никто не лайкал и ты можешь быть первым


Комментарии

vitaliy

09 Августа 2012

Ну а как насчёт vk.com там же можно указывать id сесии или я что то не о том?


Михаил Фленов

09 Августа 2012

Ты можешь указать id пользователя. Если там можно указывать сессию, то я такого не видел.


vitaliy

09 Августа 2012

Ясно значит всё таки я не о том, теперь я понял что понял что не знаю что такое сесия...


Vano

10 Августа 2012

Ну это стандартный вариант перехвата сессии описан, разве нет? Подделка куки. Хакер устанавливает не имя, а значение куки, и получает доступ к сессии чувака.


ZeroXor

10 Августа 2012

А разве куки нельзя поправить прямо в браузере? А вот чтобы пользователь мог менять ID сессии - такого я не встречал.


Виталий

10 Августа 2012

Что-то попахивает враньем. Вообще нормальные люди, изменяют сессию время от времени, пользуясь функцией session_regenerate_id() и как вообще можно это дело изменить, что-то даже в голове не укладывается.
Есть только один вариант, когда передается id сессии в параметре GET на сайте, да и то, что-то маловероятно.


Михаил Фленов

10 Августа 2012

А разве куки нельзя поправить прямо в браузере?


Я могу изменить Cookie локально с ID1 на ID2, но на сервере моя сессия все еще будет под ID1. Если ты знаешь чейто ID, то можешь поменять свои Cooke и перехватить сессию. Но заставить другого пользователя поменять ID просто переходом на сайт практически нереально, потому что ни один сайт не должен менять сессию, как описано в примере.


Добавить Комментарий

Еще что-нибудь

Хотите найти еще что-то интересное почитать? Можно попробовать отфильтровать заметки на блоге по категориям.

О блоге

Программист, автор нескольких книг серии глазами хакера и просто блогер. Интересуюсь безопасностью, хотя хакером себя не считаю

Обратная связь

Без проблем вступаю в неразборчивые разговоры по e-mail. Стараюсь отвечать на письма всех читателей вне зависимости от страны проживания, вероисповедания, на русском или английском языке.

Пишите мне