WEB安全实战（七）会话标识未更新

序

上一篇文章中，我们讨论了关于“浏览器记住用户名和密码 ”的问题，至于这篇文章嘛，我想谈谈关于“会话标识 ”的漏洞。而且，这篇文章也是“Web安全实战”系列的最后一篇。为什么要拿到最后来说呢，其实，是之前一直困扰我的问题，这个问题曾一顿让我抓狂，n（n=3~5）多天一直没有解决，当时也是搜遍了各大网站，各大论坛，均未找到合适的解决方案。其中的过程就不再废话了，转到正题。

问题

先介绍一下问题是如何发现的，当然，这个不是我发现的，是我们测试部的童鞋发现的漏洞，然后她转交给我，让我去解决这个问题。刚开始也是一点思路都没有，然后就是一顿狂搜，后来慢慢发现，其实这个问题产生的根源，就是应用服务器（如 Tomcat）的 JSessionId 没有更新。只要使得旧的 Session 过期，重新生成新的 Session 即可。当然，这是理论上的解决方案，很想当然的。

曲折过程

有了思路之后，再想解决问题就容易了很多。于是，我就把范围固定在了如何让 Session 过期，当然，这样的解决方案网上有一箩筐，这里就不多说了，我拿到项目中试了试，结果你肯定能想到 —— 抛异常，异常原因是：...Session already invalidated 。这说