Web 攻防之业务安全:Cookie仿冒测试
业务安全是指保护业务系统免受安全威胁的措施或手段。广义的业务安全应包括业务运行的软硬件平台(操作系统、数据库,中间件等)、业务系统自身(软件或设备)、业务所提供的服务的安全;狭义的业务安全指业务系统自有的软件与服务的安全。
Cookie仿冒测试:
测试原理和方法:
服务器为鉴定客户端浏览器会话以及身份信息。以将用户身份信息存入到 Cookie 中,并发送至客户端存储,攻击者通过尝试修改 Cookie 中的身份标识,从而达到仿冒其他用户身份的目的,并拥有相关用户的所有权限。
测试过程:
对系统会话授权验证 Cookie 中的会话身份认证标识进行篡改测试,通过篡改身份认证标识值来判断是否改变用户身份会话。
第一步:使用 leifeng 账号登录系统并进行浏览器 " 页面刷新 " .
第二步:使用 Burp Suite 工具对本次页面刷新请求数据进行拦截,并将请求数据 Cookie 中的 userid 值修改为 admin 进行提交.
第三步:查看提交后的返回信息,账号身份授权被修改.
修复建议:
建议对客户端标识的用户敏感信息数据,使用 Session 会话认证方式,避免被他人仿冒身份.
学习的书籍:Web 攻防之业务安全实战指南.