已修正 HTTP 工作階段 Cookie
medium Nessus Plugin ID 46201
語言:
概要
遠端 Web 應用程式受到一個工作階段固定弱點影響。說明
遠端網路應用程式使用 Cookie 追蹤已驗證的使用者。如果在驗證之前即已存在工作階段 cookie，它會在成功登入之後保持不變。遠端攻擊者可加以惡意利用，來劫持有效的使用者工作階段。
預期工作階段 cookie 在安全的 Web 應用程式中不可預測。如果可以操控 HTTP cookie (例如透過插入用戶端 JavaScript)，則攻擊者不必中斷虛擬隨機產生器，web 應用程式容易遭受「工作階段固定」攻擊。
解決方案
修正應用程式，使系統在成功驗證後重新產生工作階段 cookie。另請參閱
https://en.wikipedia.org/wiki/Session_fixation
Plugin 詳細資訊
嚴重性: Medium
ID: 46201
檔案名稱: fixed_session_cookies.nasl
版本: 1.10
類型: remote
系列: Web Servers
已發布: 2010/4/30
已更新: 2018/11/15
支援的感應器: Nessus