- 認證的目的是為了認出使用者是誰， 授權的目的是為了決定使用者能夠做什麼
- 認證是乙個驗證憑據的過程。
- 認證分類： 單因素認證& 雙因素認證& 多因素認證
- 認證手段： 密碼、動態口令、手機驗證、數字證書、單點登入(openid)
- 認證成功後， 認證憑證的管理方式
- 會話管理方式： cookie based 方式、伺服器端session 方式
1 cookie-based的管理方式
使用者登入成功之後， 把登入憑證寫到cookie裡面， 並給cookie設定有效期，後續請求直接驗證存有登入憑證的cookie是否存在以及憑證是否有效，即可判斷使用者的登入狀態
2 基於server 端的服務端session的管理
服務端session技術是使用者第一次訪問時，伺服器就會建立的物件，並分配session 儲存空間。伺服器為每乙個session 都分配乙個唯一的sessionid, 以保證每個使用者都有乙個不同的
session物件。認證成功過，認證憑證計入到session儲存空間中。
實驗環境：asp編寫的
web
站點實驗案例：利用burp嗅探該站點認證
cookie
特點，利用
burp
或桂林老兵cookie 欺騙工具，進行會話重放。
登入**後台，用burp工具抓包
在這可以看到我們在網頁後台輸入的使用者名稱、密碼以及驗證碼。以及cookie中包含的adminpass，adminuser等資訊。
複製以下資訊
adminpass=21232f297a57a5a743894a0e4a801fc3; adminuser=admin
2.退出系統
3. 重新回到網頁登入介面並使用burp抓包
將cookie資訊中的adminpass、adminuser內容替換為
adminpass=21232f297a57a5a743894a0e4a801fc3; adminuser=admin
可以實現登入
安全漏洞問題7 失效的身份認證和會話管理
安全漏洞問題7 失效的身份認證和會話管理 1.1.漏洞描述 應用程式的功能一般包含許可權管理和會話管理，但是由於應用程式設計不當，讓攻擊者可以竊取到密碼 金鑰 session tokens等資訊，進而冒充合法使用者身份，獲取敏感資訊或者進行惡意操作。1.2.漏洞危害 利用不安全的許可權管理和會話管理...
PHP Cookie和會話管理
建立cookie setcookie 名稱，cookie值，到日期，路徑，網域名稱，secure setcookie 函式必須位於 標籤之前 讀取cookie 使用 cookie 變數取回 cookie 的值 setcookie 名稱,cookie值,到日期,路徑,網域名稱,secure setco...
公司專案重構 Web安全 認證和會話管理
3 防範手段 二 在會話管理方面 如時間有限，可直接閱讀防範手段一節。今年開始公司準備對專案做部分重構，其中安全性問題首當其衝，除了已知的問題外，還需要發散思維，盡可能找出更多的潛在問題。期間發現一本非常好的書 白帽子講web安全 感謝吳翰清大佬，讀完本書讓我對web安全有了更深刻的理解，強烈推薦大...