Session 설정과 악용

Question

제가 이해한 내용이 맞다면사용자가 로그인을 하면 서버가 특정 session을 할당하고, 그 session이 사용자 브라우저 cookie에 저장이 되어로그인을 따로 안 해도 다시 접속할때마다 서버로 session을 보내주어 인증해서 로그인이 계속 유지가 되는 방식으로 아는데그럼 중간에 다른 session을 얻어서 그걸 보내면 다른 사람으로도 로그인이 되는거잖아요이걸 방어하는 방법은 없나요?

kenu,전독시 · Accepted Answer

session hijacking은 아주 오래된 해킹 방법입니다.- https://www.google.com/search?q&#61;session&#43;hijacking&#43;prevention세션 하이재킹을 방지하는 방법다음 팁은 세션 하이재킹 공격의 피해자가 되는 것을 방지하는 데 도움이 됩니다.로그아웃 : 웹사이트에서 로그아웃하면 세션ID가 무효화되어 악의적인 이용이 불가능합니다. 그것은 그렇게 간단합니다.링크에 주의하세요 . 이메일, SMS 또는 소셜 미디어 게시물에 삽입된 형태로 도착하더라도 링크는 보이는 것과 다를 수 있습니다. 예상했던 사이트로 연결되는 대신 비밀번호를 입력하거나 악성 코드를 설치하도록 속이도록 설계된 피싱 사이트로 연결될 수도 있습니다. 많은 피싱 메시지는 쉽게 발견할 수 있지만 일부는 매우 설득력이 있습니다. 각별히 주의하고 메시지의 유효성에 대해 조금이라도 의심이 든다면 클릭하지 마세요. 대신 즐겨찾기를 사용하거나 브라우저에 주소를 입력하세요.장치와 앱을 최신 상태로 유지하세요 . 보안 업데이트 설치를 지체하지 마세요. 설치 속도가 빠를수록 업데이트로 수정되는 버그로 인해 장치가 취약해지는 기간이 줄어듭니다.from: https://www.emsisoft.com/en/blog/44071/what-is-session-hijacking-and-how-do-you-prevent-it/#:~:text&#61;Session%20hijacking%20is%20a%20technique,employer's%20network%20and%20deploying%20ransomware.

SI탈출은언제쯤... · Answer

기존의 session을 변수값으로 저장해놓고 새롭게 파라미터를 변경해서 중간에 들어온 session과 비교해서 다르면 강제 로그아웃 시키면 되지 않나요?

Session 설정과 악용

2개의 답변

Q&A 목록