JSESSION ID 복제 방지

Question

안녕하세요.WEB 보안과 관련해 조언을 얻고싶어 글을 남깁니다.현재 Tomcat 위에 프로젝트를 하나 돌리고 있습니다.ADMIN 권한을 가진 관리자 계정과 일반 유저 계정이 있는데 관리자 계정으로 접속 후 JSESSIONID를 복사했습니다. 그리고 다른 피씨에서 일반 유저 계정으로 접속 후 JSESSIONID를 바꿔치기 한다음 관리자만이 볼 수 있는 특정 페이지 URL을 직접 URL창에 입력해보니(GET방식의 페이지) 일반 유저 계정의 세션이 관리자 계정의 세션으로 바꿔치기가 되었습니다. 이런 경우 세션이 바뀌는 경우를 체크할 수 있는 방법이 있을까요?

Dierslair · Answer

세션 고정 공격을 회피하는 방법에는 몇 가지가 있는데요,1. 세션 쿠키의 HttpOnly 플래그 사용 2. XSS 대비 3. 로그인 후, 세션 아이디 갱신 4. 컨테이너 재시작마다 세션 쿠키 이름을 랜덤으로 생성기본적인 보안 대책이 없는 경우 세션 쿠키가 탈취되면 끝입니다.

JSESSION ID 복제 방지

1개의 답변

Q&A 목록