Asp.net安全架構之2：Session hijacking（會話劫持）

原理 會話劫持是指通過非常規手段，來得到合法用戶在客戶端和服務器段進行交互的特徵值（一般爲sessionid），然後僞造請求，去訪問授權用戶的數據。 獲取特徵值的非常規有段主要有如下幾種： 首先是猜測的方式，如果我們的sessionid的生成是有規律的，那麼使用猜測的方式就可以到達非法獲取的目的，如圖所示：   其次是session fixation攻擊。session fixation攻擊是指用

>>阅读原文<<