OWASP توصیه می کند تنظیم زمان وقایع جلسه را به حداقل مقدار ممکن برساند ، برای به حداقل رساندن مدت زمانی که یک مهاجم مجبور است جلسات ربودن جلسه را بگیرد:
مدت زمان جلسه زمان پنجره عمل را برای یک کاربر تعیین می کند بنابراین این پنجره ، در همان زمان ، تأخیر در نشان می دهد که یک مهاجم می تواند سعی کند از یک جلسه کاربر موجود استفاده کند را سرقت کند و از آن استفاده کند …
برای این کار ، بهترین کار این است که:
- بسته به متن برنامه ، مدت زمان جلسه را به حداقل مقدار ممکن ممکن تنظیم کنید.
- "پایان نامحدود" جلسات جلسه.
- برای استفاده از زمان بندی جهانی برای کلیه جلسات برنامه ، ترجیحی اعلان کننده از جلسه جلسه را ترجیح دهید.
- ایجاد یا تخریب جلسه ردیابی به منظور تجزیه و تحلیل روند ایجاد و سعی در شناسایی شماره غیر عادی جلسه جلسه ( مرحله پروفایل پروفایل در یک حمله).
(منبع)
محبوب ترین روش حملات ربودن جلسه عبارتند از جلسه ، فیش کردن بسته ، XSS و سازش از طریق بدافزار ، اما اینها همه در زمان واقعی هستند. جلسات فعلی
پس از ربودن ، مهاجم می تواند مانع از پایان کار بیکار شود (از طریق فعالیت) ، و من را در نظر می گیرم که جلسه موفقیت آمیز ربودن یک نقض امنیتی به هر حال (مگر اینکه بخواهید استدلال کنید که چقدر بزرگتر از صفر است) ثانیه دسترسی به یک مهاجم قبل از آنکه واقعاً نقض [19459019] واقعی شمرده شود) ممکن است داشته باشد.
اگر روش اصلی دریافت نشانه جلسه قابل تکرار باشد ، به نظر می رسد که بیشتر می تواند مفید بودن یک دوره اتهام را محدود کند – – پنجره 5 دقیقه ای که می تواند به طور نامحدود تکرار شود ، به طور موثر محدود نمی شود.
چه حمله واقعی در جهان وجود دارد (حتی از نظر تئوری) در جایی که یک جلسه جلسه می تواند یک موثر باشد؟ آیا منقضی شدن جلسه فقط نوعی تئاتر امنیتی است؟
