security - 网址重写 - 这会导致安全问题吗？

Question

嗨，我最近阅读了JSP并了解了它的技术，主要是 session 。在 session 下，我阅读了 URL 重写 为维持与客户端的 session 而执行的方法之一。但是由于 URL 重写改变了带有 session ID 的 URL，并且它对客户端是可见的。这不是安全问题吗？比方说，除了特定用户之外，是否有人注意到此 session ID，并且可能会滥用它？或者还有一些技术可以防止这些情况发生？

如有错误请指正。

Answer 1

当然，这是一个安全问题。如果您快速记下 jsessionid 值，该值可能来自其他人错误地在公共(public)复制粘贴的 URL 中，也可能来自某些显示请求/响应 header 的 HTTP 调试工具 (Firebug) 公开发布的屏幕截图，并且相关网站通过登录来维护用户，那么您只需将 jsessionid cookie 附加到 URL 或请求 header ，就可以使用同一用户登录。很快，因为默认情况下，这些 session 在 30 分钟不活动后就会过期。这称为 session fixation攻击。

您可以完全禁用 URL 重写，以便 jsessionid 永远不会出现在 URL 中。但您仍然对 session 固定攻击很敏感，一些黑客可能在公共(public)网络中或通过某些木马/病毒安装了 HTTP 流量嗅探器，甚至使用 XSS 来了解这些 cookie。需要明确的是，这个安全问题并不是 JSP 特有的，PHP、ASP 或任何通过基于 cookie 的 session 维护登录的网站对此也同样敏感。

要真正保证登录安全，请让登录和登录流量通过 HTTPS 而不是 HTTP，并使 cookie 仅使用 HTTPS(安全)。