云推站长网

查看: 12|回复: 2

网站安全防护 该如何加固网站的session安全

  [复制链接]

6656

主题

6667

帖子

2万

积分

管理员

Rank: 9Rank: 9Rank: 9

积分
20069
发表于 2019-12-23 09:54:06 | 显示全部楼层 |阅读模式
网站安全防护中session会话安全是目前安全防护中,必须要进行安全部署的,session关系着整个用户登录网站与网站进行交互,数据传输都要进行的会话操作,如果session被劫持,那么网站里的用户账户就会被恶意登录,网站管理员的登录也被劫持,造成网站被劫持,被篡改,被跳转等情况的发生,根据我们SINE安全在对客户网站进行安全防护部署的时候,发现大部分的客户网站都没有对session会话状态进行安全加固,针对session安全方面,我们跟大家来分享讲解一下,让更多的人了解网站安全.
什么是session网站会话?
简单来将这个session就是用户登录网站的时候,会在后端服务器生成一个seeion值并记录到服务器中,跟cookies的道理是差不多的,相当于每个用户访问网站,都会单独的分配一个session给用户,相当于标记用户,正常的会话流程是:用户访问-建立session值-服务器数据传输给含有session的客户IP,如果用户没有session值那么服务器不会与其进行连接交互,不会返回任何数据给用户,session id是独立的.
session会话在日常的网站当中经常出现的安全问题就是,session被劫持,攻击者绕过session检查,直接获取用户的信息,有些攻击者甚至伪造session来登录网站,登录任意的会员账号,有些高级的攻击者会伪造session来登录网站后台,获取管理员权限.
我们SINE安全经常遇到客户的session没有释放掉,导致session一直可用,攻击者利用用户的session对服务器进行恶意代码的发送,或者是请求一些用户的操作,像修改用户的密码,提现,资料修改等等操作.这种属于会话重放攻击.还有一种是访问者打开网站后,并未登录账户密码的时候就已经创建了一个session值,这个值在账户登录后也是与其session一致,也就是说登录跟未登录的状态都调用的一个session值,如果网站程序在设计过程中没有对其做安全效验与过滤,那么就很容出问题,攻击者利用一个session值来登录用户账户,获取信息,甚至可能导致用户的信息泄露.
那么如何对网站session会话安全做防护呢?
1,账户登录后的session值为唯一性,当账户退出后将之前写进服务器端的session值进行删除,防止session一直可用.
2.对用户的权限做安全过滤,相当于逻辑漏洞范畴里的,当session访问一些有管理权限的页面时,对其当前管理员账户的session进行比对,如果session值不是管理员的,那么就直接退出页面并返回错误.如果您对网站安全不是太懂的话,建议找专业的网站安全公司来处理,国内SINESAFE,启明星辰,深信服,绿盟都是比较不错的.
3.在服务器端做session的有效时间设置,比如设置12小时使用时间,如果session超过12小时就删除掉,防止攻击者恶意利用session会话来劫持攻击网站.
4.对session做双向加密验证,配合cookies进行加密,加密出来的值到服务器端去解密,才能进行正常的数据通信.以上就是网站安全防护中对session会话的安全讲解分享,也希望我们SINE安全的这次分享,让越来越多的人深入的了解网站安全,只有网站安全了才能保障我们的信息安全,防止用户信息泄露的发生.
回复

使用道具 举报

0

主题

2万

帖子

3万

积分

论坛元老

Rank: 8Rank: 8

积分
31273
发表于 2020-1-9 13:49:04 | 显示全部楼层
我来试试,谢谢楼主
回复

使用道具 举报

1

主题

2万

帖子

3万

积分

论坛元老

Rank: 8Rank: 8

积分
31602
发表于 2020-1-10 02:05:03 | 显示全部楼层
我来试试,谢谢楼主
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|手机版|云推站长网

GMT+8, 2020-1-22 23:16 , Processed in 0.155170 second(s), 18 queries .

Powered by Discuz! X3.4

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表