1. Introducción
La fijación de sesión es una técnica que permite a los piratas informáticos secuestrar la sesión de un usuario. Esta técnica aprovecha el hecho de que el servidor no cambia el valor del ID de sesión cada vez que el usuario inicia sesión, sino que utiliza un ID de sesión preexistente. El proceso de ataque incluye obtener una ID de sesión válida (posiblemente accediendo al sitio web ), luego encontrar una manera para que la víctima inicie sesión en el sitio web con esta ID de sesión y, finalmente, cuando la víctima inicie sesión exitosamente, el hacker navegará el sitio web con su cuenta. El escenario específico es el siguiente:
Mallory encuentra un sitio web, como http://unsafe.example.com, que acepta cualquier ID de sesión de la solicitud sin autenticación.
Mallory le enviará a Alice un correo electrónico que contiene el enlace http://unsafe.example.com/?SID=1234.
Alice va a http://unsafe.example.com/?SID=1234. Luego inicie sesión en el sitio web.
Mallory simplemente va a http://unsafe.example.com/?SID=1234 y utiliza el sitio web con la cuenta de Alice.
Mallory puede utilizar los siguientes métodos para configurar cookies para Alice:
Adjunte un script para configurar cookies
Enviar paquete de respuesta HTTP con valor de cookie de MalloryEnviar paquete de respuesta HTTP con valor de cookie de Mallory
Utilice metaetiquetas HTML:
2. Ejemplos
Ejemplo 1: secuencias de comandos del lado del cliente
Sin embargo, similar al escenario mencionado anteriormente, en este caso, el ID de sesión no se pasa en la URL sino en la cookie. Para editar el valor del ID de sesión en la cookie de la víctima, el hacker insertará un fragmento de Javascript:
http://website.kom/document.cookie=”sessionid=abcd”;
Ejemplo 2: etiqueta
Similar a las secuencias de comandos del lado del cliente, pero esta vez el hacker insertará etiquetas adicionales:
http://website.kon/
Ejemplo 3: respuesta del encabezado HTTP
La inserción del ID de sesión también se puede realizar interceptando los paquetes intercambiados entre el cliente y la aplicación web y luego insertando el campo Set-Cookie en el encabezado.
3. Cómo prevenir
La causa de este error es que el servidor no regenera el ID de sesión después de cada inicio de sesión exitoso. Por lo tanto, corregir este error no es difícil, solo necesitamos cambiar el valor de ID de sesión y listo. En PHP, usamos la función session_regenerate_id() para regenerar la sesión.
¿Ves una notificación de activación de Windows 10 en la esquina derecha de la pantalla? Este artículo le guiará sobre cómo eliminar el aviso de solicitud de derechos de autor en Windows 10.
Recientemente, Microsoft lanzó la última actualización acumulativa para usuarios de PC con Windows 10 llamada Build 14393.222. Esta actualización lanzada para Windows 10 corrige principalmente errores basados en los comentarios de los usuarios y mejora la experiencia de rendimiento del sistema operativo.
¿Tiene computadoras en su red local que necesitan acceso externo? Usar un host bastión como guardián de su red puede ser una buena solución.
A veces es posible que necesites eliminar todos los registros de eventos antiguos a la vez. En esta guía, Quantrimang.com le mostrará 3 formas de eliminar rápidamente todos los registros de eventos en el Visor de eventos de Windows 10.
Si prefiere usar un teclado clásico antiguo, como el IBM Modelo M, que no incluye una tecla física de Windows, existe un método sencillo para agregar más, tomando prestada una tecla que no usa con frecuencia.
WindowTop es una herramienta que tiene la capacidad de atenuar todas las ventanas de aplicaciones y programas que se ejecutan en computadoras con Windows 10. O puede usar una interfaz de fondo oscuro en Windows.
En muchos artículos anteriores hemos mencionado que permanecer anónimo en línea es extremadamente importante. Cada año se filtra información privada, lo que hace que la seguridad en línea sea cada vez más necesaria. Esa es también la razón por la que deberíamos utilizar direcciones IP virtuales. ¡A continuación, aprenderemos sobre métodos para crear IP falsas!
La barra de idioma en Windows 8 es una barra de herramientas de idioma en miniatura diseñada para mostrarse automáticamente en la pantalla del escritorio. Sin embargo, mucha gente quiere ocultar esta barra de idioma en la barra de tareas.
Maximizar la velocidad de Internet es esencial para optimizar su conexión de red. Podrás tener una óptima experiencia de entretenimiento y trabajo utilizando computadoras, televisores con acceso a Internet, consolas de juegos, etc.
La conectividad inalámbrica es una necesidad hoy en día y, por eso, la seguridad inalámbrica es esencial para garantizar la seguridad en su red interna.
