14、Web应用认证与授权安全攻防解析

Web应用认证与授权安全攻防解析

认证攻击手段及防护

在众多电子商务网站中，会话标识符（Session ID）常与Web认证结合使用。用户成功认证后，系统会存储一个Session ID，用户无需再次输入凭证。这就使得攻击Session ID成为绕过密码认证的一种途径。若攻击者获取或猜测到有效的Session ID，就可进行会话劫持或重放攻击。

Session ID攻击技术

1. Session ID预测 ：安全的Session ID应随机生成以防止被预测。然而，许多网站使用可预测甚至顺序的Session ID ，攻击者可利用统计预测等数学技术进行预测。
2. 暴力破解 ：攻击者会使用所有可能的Session ID同时发起数千个请求。攻击成功的概率取决于Session ID的密钥空间大小。

应对Session ID攻击的措施

为防止Session ID被攻击，应设计不可预测且无法被暴力破解的Session ID。使用随机数生成器生成Session ID，且密钥空间应足够大（当前技术下约128位）。但使用伪随机数生成器时需注意，例如将四个32位的连续数字拼接成一个128位的Session ID并不安全，这反而会使预测变得更容易。

篡改Cookie攻击

Cookie通常包含与认证相关的敏感数据，窃取Cookie可能对网站造成严重攻击。常见的窃取Cookie的技术有：
1. 脚本注入 ：攻击者将客户端脚本（通常是JavaScript）注