检测

对 HTTP Cookie 的会话固定攻击

high Nessus 插件 ID 45084

语言：

简介

远程 Web 应用程序容易遭受会话固定攻击。

描述

通过利用与跨站脚本类似的漏洞操控 cookie，攻击者可设置会话 Cookie。合法用户再次登录应用程序后将会遭到注销，cookie 将维持不变，而攻击者将可窃取未关闭的会话并冒充该用户。

解决方案

- 修复应用程序，使系统在成功认证后重新生成会话 cookie。- 修复 cookie 操控缺陷。

另见

https://en.wikipedia.org/wiki/Session_fixation

https://www.owasp.org/index.php/Session_Fixation

插件详情

严重性: High

ID: 45084

文件名: http_session_fixation.nasl

版本: 1.16

类型: remote

系列: Web Servers

发布时间: 2010/3/17

最近更新时间: 2018/11/15

支持的传感器: Nessus

风险信息

CVSS v2

风险因素: High

基本分数: 7.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

参考资料信息

CWE: 287, 384, 718, 724, 812, 928, 930, 935