17 - 05 - 06 Web安全（35）

## 会话固定攻击

对以窃取目标会话ID为主动攻击手段的会话劫持而言，

会话固定攻击（Session Fixation）攻击会强制用户使用攻击者指定的会话ID，属于被动攻击。

会话固定攻击案例：

以认证功能为例，这个Web网站的认证功能，会在认证前发布一个会话ID，

若认证成功，就会在服务器内改变认证状态。

骇客准备陷阱，先访问Web网站拿到会话ID（SID=f5d12.......19）

此刻，会话ID在服务器上的记录仍是（未认证）状态。

攻击者设置好强制用户使用该会话 ID  的陷阱，并等待用户拿着这个会话ID前去认证。

一旦用户触发陷阱并完成认证，会话 ID （ SID=f5d1278e8109 ）在服务器上的状态（用户A已认证）就会被记录下来。

攻击者估计用户差不多已触发陷阱后，再利用之前这个会话ID访问网站。

由于该会话ID目前已是（用户A已认证）状态，于是攻击者作为用户A的身份顺利登录网站。

# Session Adoption

Session Adoption是指PHP/ASP.NET能够接收处理未知会话ID的功能。

恶意使用该功能便可跳过会话固定攻击的准备阶段，从Web网站获得发行的会话ID的步骤。

即攻击者可私自创建会话ID构成陷阱，中间件却会误以为该会话ID是未知会话ID而接受。