Ho letto sulla fissazione della sessione e da quello che ho capito costringe un utente a utilizzare la sessione di un utente malintenzionato. È corretto? Puoi darmi un esempio di come questo possa offendere l'utente?Puoi darmi un esempio di un attacco di fissazione della sessione?
solito non mi piace postare link a Wikipedia, ma ecco un link per a very good explanation on Wikipedia ...
Ecco la carne di esso:
Alice ha un conto presso la banca http://unsafe/ . Sfortunatamente, Alice non è molto esperta di sicurezza.
Mallory è fuori per ottenere i soldi di Alice dalla banca.
Alice ha un ragionevole livello di fiducia in Mallory e visiterà i collegamenti che Mallory le manda.
Questo è davvero un buona risposta – Tony
@RichieHindle Ciò significa che se il sito della banca non creare ID di sessione, e fare Nout solo accettare qualsiasi ID di sessione, allora questo attacco non è possibile o mi sto perdendo un po ' cosa qui? – Inquisitive
Anche se la banca accetta solo ID che ha generato, Alice non è al sicuro. Mallory può visitare il sito della banca per ottenere un ID di sessione generato dalla banca e quindi utilizzarlo nel link che invia ad Alice. Vedi l'articolo di Wikipedia collegato per i dettagli su come difendersi dagli attacchi di fissazione delle sessioni. – RichieHindle