安全编码实践之三：身份验证和会话管理防御

an0708

墨衍会员 · AI 创作全网分发码龄12年

关注

转载最新推荐文章于 2026-09-03 18:50:39 发布 528 阅读 AI 写同款· GEO 优化 ›

声明：本文由Bypass整理并翻译，仅用于安全研究和学习之用。

文章来源：https://medium.com/bugbountywriteup/how-to-write-secure-code-d4823bc2e86d

如何编写安全代码？保护自己免受破碎的身份验证和会话管理！

需要安全代码？

我一直致力于安全编码实践，并试图尽可能多地学习基本要点。在过去的几年里，我已经意识到一个小小的漏洞在普通人的生活中可能造成的伤害。像WannaCry和Petya勒索软件这样的网络攻击在几个遭受其原因的人心目中是相当新鲜的。

研究人员仍然可以在网络应用程序和其他领域中发现另一个非常严重的错误。除非程序员自己意识到他们正在编写的代码，否则这种趋势不会下降。代码不仅应该能够执行它应该执行的预期工作，而且还能够抵御任何恶意负载和攻击场景。实现这一目标的最佳方式是能够在编码和安全社区之间建立协同作用，并相互帮助。

我们来挖掘吧！

那么，这篇特别的文章“如何编写安全代码？”专注于身份验证和会话管理问题。

身份验证和会话管理相关的应用程序功能存在安全缺陷，允许攻击者破坏密码，密钥，会话令牌或利用其他实现缺陷来承担其他用户的身份。

在本文中，我将介绍几种不同类型的攻击和方法，您可以使用它们来防止它们： -

1.硬编码登录凭据

硬编码登录凭据是程序员可以犯的最大错误之一，因为它与在银盘上为黑客提供凭证一样好。敏感数据永远不应该是硬编码的。

不安全的代码 - 硬编码的信用卡

上面的代码是其中一个示例，其中登录凭证在程序员编写的代码中进行了硬编码。

虽然下面的代码是一个示例，其中凭证在程序中没有硬编码，使得它比信用卡硬编码的指数更加安全。

安全代码 - 信用证不是硬编码的

这种小差异会对应用程序的安全性产生巨大影响。

2. Cookie操作

随着越来越多的身份验证过程通过检查用户提供的cookie细节来执行，Cookie操作正在成为当今最危险的攻击之一。

攻击者正在寻找方法来打破并弄清楚网络应用程序如何分配cookie，以便他们可以操纵它们并像其他用户进行帐户接管一样构成。

让我演示攻击者如何利用分配给用户的弱cookie或者cookie保持不变。

这边的图像是一个登录门户，我们将进行攻击并显示弱cookie实现的问题。

一旦我们登录到应用程序，我们就会拦截Burp-Suite中的流量，以查看它以及传递给用户身份验证我们的cookie。

Cookie细节

上图显示了我们尝试登录时分配的四个“Set-Cookie”参数。这四个不同的cookie登录，PHPSESSID，显示提示，用户名和uid。我们怀疑uid对每个用户都是唯一的。所以我们继续篡改uid以检查我们是否可以访问其他人的帐户。

修改cookie

要捕获cookie的值，我们使用浏览器中存在的Cookie Manager扩展，然后传递请求。我们将“uid”从24改为12，如下所示。

修改过的cookie

一旦我们修改了cookie值，我们就可以看到，当我们访问其他用户的帐户时，我们已经执行了帐户接管攻击。

这次攻击经历的原因是，在用户登录之前和之后，PHPSESSID根本没有被修改，因此“uid”是识别哪个用户刚刚登录到他们帐户的唯一决定因素。正如我们上面所看到的那样，很容易被操纵，允许帐户接管。

为了避免这种情况发生，我们需要在登录尝试后重新分配cookie，我们需要记住，cookie也必须是唯一的。以下是如何执行以下操作的想法。

//问题是正在使用相同的会话对象，因此获取当前会话
HttpSession before_login = request.getSession（）;
//使该会话无效
before_login.invalidate（）;
//生成一个新会话，新的JSESSIONID 
HttpSession after_login = request .getSession（true）;

上面的代码用于在登录前后更改SESSIONID cookie。