一句話概括：
用某種手段得到使用者session id，從而冒充使用者進行請求原因： 由於http本身無狀態，同時如果想維持乙個使用者不同請求之間的狀態，session id用來認證使用者
三種方式獲取使用者session id：
**：php生成的session id足夠複雜並且難於**，基本不可能
會話劫持： url引數傳遞sessionid； 隱藏域傳遞sessionid；比較安全的是cookie傳遞。但同樣可以被xss攻擊取得sessionid
會話固定： 誘騙使用者使用指定的sessionid進行登入，這樣系統不會分配新的sessionid
防禦方法：
網路驗證常見的攻擊方式與防禦手段
目前，各種網路驗證系統攻擊事件層出不窮，搭過伺服器的人可能都知道，ddos攻擊是中小型網路驗證伺服器的噩夢。基本上一打就死，而防禦ddos攻擊的辦法也只有一種就是硬抗，普通的ddos硬防防火牆基本上都是上萬乙個月，網路驗證的ddos防禦相對便宜，但是也要上千乙個月。硬防伺服器普遍偏貴是行業通病。一 ...
WEB安全 XSS和XSRF介紹及防禦手段
跨站指令碼攻擊 cross site scripting xss攻擊分為 反射型 儲存型 dom型 反射型利用頁面缺陷，執行指令碼，從而獲取使用者資訊。比如 頁面獲取使用者輸入資訊 使用者輸入 服務端未經過字串轉義或處理，直接返回到客戶端。瀏覽器就很容易受到xss攻擊，比如可以在頁面新增指令碼，把使...
Web常見的攻擊手段
type text name name value 當輸入的內容為 alert hello script 最終的效果為 type text name name value alert hello script 這時候就會彈出來hello。這樣的惡作劇還好，如果是獲取使用者賬號密碼的的指令碼呢，那樣的...