会话固定攻击（Session Fixation）详解

一、攻击描述
会话固定攻击是一种利用合法会话标识（Session ID）劫持用户会话的攻击方式。攻击者先获取一个有效的会话标识，然后诱导受害者使用该特定标识进行登录。当受害者完成身份验证后，攻击者即可利用已知的会话标识冒充受害者访问系统。

二、攻击原理分步解析

1. 会话机制基础

   • Web应用通过会话标识跟踪用户状态（如登录状态）
   • 会话标识通常存储在Cookie或URL参数中
   • 正常流程：用户登录时服务器生成新会话标识，未登录时使用临时会话

2. 攻击核心漏洞

   • 应用在登录前后未更换会话标识
   • 攻击者能提前获取或预设会话标识

3. 攻击步骤分解
   阶段1：攻击者获取固定会话标识

   • 方法1：直接访问应用获取系统分配的会话标识（如未登录状态的Session ID）
   • 方法2：通过恶意链接生成特定标识（如https://example.com/login?sessionid=攻击者指定值）

   阶段2：植入会话标识给受害者

   • 通过钓鱼邮件发送含固定会话标识的链接
   • 利用XSS漏洞设置受害者的Cookie
   • 在公共电脑预置会话标识Cookie

   阶段3：受害者使用固定标识登录

   • 受害者通过攻击者提供的链接访问应用
   • 系统未更换会话标识，直接完成登录绑定

   阶段4：攻击者劫持会话

   • 攻击者使用已知的会话标识访问应用
   • 系统误认为这是已认证的合法会话

三、防御措施详解

1. 登录后重新生成会话标识（关键防御）

   • 在身份验证成功后立即使旧会话失效
   • 生成新的随机会话标识并绑定到用户
   • 代码示例逻辑：

     # 登录验证成功后
     old_session_id = request.session.session_id
     request.session.flush()  # 清空旧会话数据
     request.session.cycle_key()  # 生成新标识
     log_security_event(f"Session renewed: {old_session_id} -> {request.session.session_id}")
     

2. 会话标识的安全属性强化

   • 使用足够长度的随机数（建议128位以上）
   • 确保会话标识不可预测（避免使用时间戳等简单规则）

3. 多维度验证机制

   • 绑定用户指纹信息（如User-Agent、IP地址的哈希值）
   • 设置会话超时时间（操作超时、绝对超时）
   • 敏感操作需重新认证（如支付前要求输密码）

4. 标识传递方式安全设计

   • 优先使用Cookie而非URL传递会话标识（防止Referer泄露）
   • 设置Cookie的HttpOnly和Secure属性（防XSS窃取+强制HTTPS）

5. 注销功能的彻底实现

   • 服务端主动销毁会话数据
   • 客户端Cookie立即过期

四、实战场景模拟
假设一个存在漏洞的登录流程：

1. 攻击者访问https://example.com获取自己的会话标识SID=123
2. 构造恶意链接https://example.com/login?SID=123发送给受害者
3. 受害者点击链接登录账户，服务器未更换SID，仅将SID=123绑定到账户
4. 攻击者直接用Cookie中预设的SID=123访问系统，获得受害者权限

修复后的流程：

1. 受害者登录时，服务器检测到会话标识未变更（仍是SID=123）
2. 在认证通过瞬间，强制生成新标识（如SID=xyz）并返回给客户端
3. 旧标识SID=123立即失效，攻击者无法再利用该标识

五、扩展知识点

• 与会话劫持（Session Hijacking）的区别：固定攻击是主动预设标识，劫持是窃取已有活跃会话
• 与CSRF的关联：部分防御措施（如SameSite Cookie）可同时缓解两类攻击
• 现代框架的自动防护：如Django、Spring Security默认支持登录换SID机制