HttpSession - getId() 값 바꾸는 방법

Question

안녕하세요.HttpSession의 session.getId() 을 조회해보면웹상 JSESSIONID를 가져오게 되는것 같은데java 단에서 JSESSIONID를 바꾸는 방법이 있을까요구글링해도 잘 안 나오는것 같아서요아 그리고 한가지 더 여쭤볼 것이 있는데세션 예측 관련해서 취약점이 나왔는데 해결하려면휴대폰 인증 후 세션을 완전히 지우고 다시 세션을 생성하라고 하는데이건 java단에서 할 수가 없는걸까요?프록시로 JSESSIONID를 바꾸니깐 예전 사람의 인증 된 게시글 목록이 보이더라구요 ㅠ

Clickin · Answer

세션ID를 수동으로 바꾸면 다른 사람처럼 살 수 있다는건 당연한 이야기에요.이 상황은 세션 ID가 누출된 상황인거고 세션ID를 바꿀 수 있는지가 중요하지 않습니다.session id는 클라이언트와 서버가 둘다 가지고 있어서 서로 인증하는 통행증같은건데 서버에서만 바꾸면 클라이언트는 자기 통행증이 안맞으니까 인증 로직에서 다 오류나겠죠.실제 상황에서는 세션 id를 revoke하는 기능을 만들고 누출이 의심되는 session id를 서버에서 삭제해버리죠. revoke라고 해봐야 그냥 세션 저장소에서 지우면 끝이긴 합니다.이 경우 사용자는 서버에 없는 세션 ID로 들어와서 검증안되니 로그인 화면으로 보내면 됩니다.

팩트폭행범 · Answer

해킹툴 개발중이신가요?

한안아 · Answer

휴대폰 인증이 성공하면, 클라이언트로 응답할때 세션을 새로 발급해서 리턴하고,클라이언트는 인증확인 하면서 새로운 세션을 받아서 갱신하면 됩니다.원하는게 이게 맞나요?

HttpSession -> getId() 값 바꾸는 방법

3개의 답변

#httpsession 목록