• 热门专题

Asp.net安全架构之2:Session hijacking(会话劫持)

作者:Luminji  发布日期:2012-05-30 10:26:04
  • 原理

    会话劫持是指通过非常规手段,来得到合法用户在客户端和服务器段进行交互的特征值(一般为sessionid),然后伪造请求,去访问授权用户的数据。

    获取特征值的非常规有段主要有如下几种:

    首先是猜测的方式,如果我们的sessionid的生成是有规律的,那么使用猜测的方式就可以到达非法获取的目的,如图所示:


     

    其次是session fixation攻击。session fixation攻击是指用户通过XSS、网络嗅探、本地木马来得到特征值,这些交互的特征值一般来说放置在浏览器的Cookie中(当然,我们也知道sessionid也可以通过URL来传递,这样的话,获取就简单多了)。然后诱使用户去完成一次登录(诱使的方法可使发邮件,发链接等)。如果服务器没有更新这个SessionID,则攻击者可以凭借此SessionID登录系统,如图所示:

     


     

    在特征值被获取到之后,攻击者还可以使用Session保持攻击,这一般是指写一段小代码,定时发送请求,保持Session有效。这样,攻击者,就可以一直利用这个合法用户进行非法活动。

    实际案例

    http://www.it165.net/default.aspx界面,我们偷到了sessionID,然后就可以模拟这样的请求来完成一次攻击。一次攻击是指,拿上如下的请求,我们可以在任意客户端进行登录。

    User-Agent: Fiddler

    Host: 192.168.40.193

    Cookie: LoginName=luminji; ASP.NET_SessionId=xzyplp45wgl3rf45ssxt5h55;

    同时,在客户端写一段脚本,还可以完成Session保持攻击。经过这样的处理后,非法用户不用登录系统就可以访问任意页面了。

    应对策略

    1:为Cookie设置httpOnly,就可以有效防止Cookie被非法读取,从而防止劫持;

    2:每次登录更换SessionID。

    具体措施

    n  查看sessionid生成策略,确保不可被猜测

    备注,sessionid在asp.net程序中是被自动生成为GUID形式的,所以在Asp.net程序中该项不需要被修改。

    n  查看sessionid保存策略,确保不通过URL进行传递

    n  每次登录更换sessionid

    改进登录模块,每次登录更换sessionid。更换sessionid并不会影响有些站点的类似“一个星期”都不用登录的功能。如果攻击者不是从合法用户的本机获取的sessionid,那么完成此次升级后,session fixation攻击就被阻断了。

    更换SessionID的函数为:

     

    private void ChangeSessionID()
            {
                SessionIDManager m = new SessionIDManager();
                m.RemoveSessionID(Context);
                HttpApplication ctx = (HttpApplication)Context.ApplicationInstance;
                HttpModuleCollection mods = ctx.Modules;
                SessionStateModule sessionStateModule = (SessionStateModule)mods.Get("Session");
                System.Reflection.MethodInfo CreateSessionId = 
                    sessionStateModule.GetType().GetMethod(
                        "CreateSessionId", 
                        BindingFlags.Instance | BindingFlags.NonPublic);
                System.Reflection.MethodInfo InitStateStoreItem = 
                    sessionStateModule.GetType().GetMethod(
                        "InitStateStoreItem", 
                        BindingFlags.Instance | BindingFlags.NonPublic);
                CreateSessionId.Invoke(sessionStateModule, null);
                SessionStateUtility.RemoveHttpSessionStateFromContext(Context);
                InitStateStoreItem.Invoke(sessionStateModule, new object[] { true });
    
                FieldInfo sessioninfo =
                        this.GetType().BaseType.BaseType.GetField(
                            "_session",
                            BindingFlags.NonPublic | BindingFlags.Instance );
                sessioninfo.SetValue(this, HttpContext.Current.Session);
            }

    n  确保登录逻辑不仅仅依赖sessionid

    如果登录逻辑不仅仅依赖sessionid,攻击者将需要得到全部的特征值(一般情况下,就是说意味着他要得到全部和登录相关的cookie值),这加大了攻击难度。

    n  确保Cookie的httponly

    通过文件查找所有的”cookie”,找出所有设置cookie的地方,为用于认证的cookie设置如下的格式:

    Set-Cookie: cookieName=cookieValue;httponly

    本文出处:http://www.cnblogs.com/luminji/
    本文版权归作者和博客园共有,欢迎转载,但未经作者同意必须保留此段声明,且在文章页面明显位置给出原文连接。

About IT165 - 广告服务 - 隐私声明 - 版权申明 - 免责条款 - 网站地图 - 网友投稿 - 联系方式
本站内容来自于互联网,仅供用于网络技术学习,学习中请遵循相关法律法规