安全測試初探（二）session測試篇

1.1.Session會話固定測試 1.1.1測試原理和方法 Session是應用系統對瀏覽器客戶端身份認證的屬性標識，在用戶退出系統時應將客戶端session認證屬性標識清空。如果未能及時清空客戶端session標識，下次登錄時系統會重複利用該session標識進行認證會話。攻擊者可以利用該漏洞生成固定的session會話，誘騙用戶利用攻擊者生成的固定會話進行系統登錄，從而導致用戶會話認證被竊取

>>阅读原文<<