如何防止雄猫会话劫持？

java tomcat

2022-09-03 07:04:38

在我的 Web 中.xml我为某些资源定义了用户数据约束：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Personal Area</web-resource-name>
        <url-pattern>/personal/*</url-pattern>
    </web-resource-collection>
    <web-resource-collection>
        <web-resource-name>User Area</web-resource-name>
        <url-pattern>/user/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

当我加载带有http的页面时，我的cookie中包含了我的JSESSIONID ID1。
当我切换到 context/user/sample.faces 时，Tomcat 会将 302 重定向到 HTTPS。但是我的JSESSIONID仍然是ID1。

我认为这是一个漏洞？还是我的配置错误？

我看到的问题是：在使用cookie ID1浏览HTTP时，有一个攻击者正在监听我的网络流量。他“偷走”了我的饼干ID1。现在我切换到HTTPS，我的cookie仍然是ID1。我登录。然后，攻击者能够接管我的会话，因为他知道我的cookie...

答案 1

如果它是Tomcat的最新版本，您可能没有问题。但是，这取决于您检查与会话关联的 SSL ID。这可以使用以下代码

String sslId = (String) req.getAttribute("javax.servlet.request.ssl_session");

（请注意，属性键将来可能会更改为_id - 作为 Servlet 3.0 规范的一部分）。javax.servlet.request.ssl_session

我使用以下方法设置了一个 servlet：doGet

protected void doGet(HttpServletRequest request, HttpServletResponse response)
                    throws ServletException, IOException {
    HttpSession session = request.getSession(true);
    String sid = session.getId();
    String sslId = (String) request.getAttribute(
                "javax.servlet.request.ssl_session");
    String uri = request.getRequestURI();
    OutputStream out = response.getOutputStream();
    PrintWriter pw = new PrintWriter(out);
    HashMap<String, Object> secrets;
    Object secret = null;
    Object notSecret;
    Date d = new Date();

    notSecret = session.getAttribute("unprotected");
    if (notSecret == null) {
        notSecret = "unprotected: " + d.getTime();
        session.setAttribute("unprotected", notSecret);
    }
    secrets = (HashMap<String, Object>) session.getAttribute("protected");
    if (secrets == null) {
        secrets = new HashMap<String, Object>();
        session.setAttribute("protected", secrets);
    }
    if (sslId != null) {
        if (secrets.containsKey(sslId))
            secret = secrets.get(sslId);
        else {
            secret = "protected: " + d.getTime();
            secrets.put(sslId, secret);
        }
    }
    response.setContentType("text/plain");
    pw.println(MessageFormat.format("URI: {0}", new Object[] { uri }));
    pw.println(MessageFormat.format("SID: {0}", new Object[] { sid }));
    pw.println(MessageFormat.format("SSLID: {0}", new Object[] { sslId }));
    pw.println(MessageFormat.format("Info: {0}", new Object[] { notSecret }));
    pw.println(MessageFormat.format("Secret: {0}", new Object[] { secret }));
    pw.println(MessageFormat.format("Date: {0}", new Object[] { d }));
    pw.close();
}

然后，我使用Firefox和Live HTTP Headers扩展调用了一个合适的未受保护的URL，以获取会话cookie。这是我导航到

http://localhost:8080/EchoWeb/unprotected

（我的網頁.xml，像你的一樣，只保護/user/*和/personal/*）：

URI: /EchoWeb/unprotected
SID: 9ACCD06B69CA365EFD8C10816ADD8D71
SSLID: null
Info: unprotected: 1254034761932
Secret: null
Date: 27/09/09 07:59

接下来，我尝试访问受保护的 URL

http://localhost:8080/EchoWeb/personal/protected

并且，正如预期的那样，我被重定向到

https://localhost:8443/EchoWeb/personal/protected

反应是

URI: /EchoWeb/personal/protected
SID: 9ACCD06B69CA365EFD8C10816ADD8D71
SSLID: 4abf0d67549489648e7a3cd9292b671ddb9dd844b9dba682ab3f381b462d1ad1
Info: unprotected: 1254034761932
Secret: protected: 1254034791333
Date: 27/09/09 07:59

请注意，Cookie/会话 ID 是相同的，但我们现在有了一个新的 SSLID。现在，让我们尝试使用会话 Cookie 欺骗服务器。

我设置了一个Python脚本，：spoof.py

import urllib2

url = "https://localhost:8443/EchoWeb/personal/protected"
headers = {
    'Host': 'localhost:8080',
    'User-Agent': 'Mozilla/5.0 (Windows; U; Windows NT 6.1; en-GB; rv:1.9.1.3) Gecko/20090824 Firefox/3.5.3',
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
    'Accept-Language': 'en-gb,en;q=0.5',
    'Accept-Charset': 'ISO-8859-1,utf-8;q=0.7,*;q=0.7',
    'Cookie' : 'JSESSIONID=9ACCD06B69CA365EFD8C10816ADD8D71'
}
req = urllib2.Request(url, None, headers)
response = urllib2.urlopen(req)
print response.read()

现在，您不需要知道Python，特别是 - 我只是尝试将HTTP请求发送到Cookie中具有相同会话ID的（不同）受保护资源。以下是我运行两次欺骗脚本时的响应：

C:\temp>spoof
URI: /EchoWeb/personal/protected
SID: 9ACCD06B69CA365EFD8C10816ADD8D71
SSLID: 4abf0eafb4ffa30b6579cf189c402a8411294201e2df94b33a48ae7484f22854
Info: unprotected: 1254034761932
Secret: protected: 1254035119303
Date: 27/09/09 08:05


C:\temp>spoof
URI: /EchoWeb/personal/protected
SID: 9ACCD06B69CA365EFD8C10816ADD8D71
SSLID: 4abf0eb184cb380ce69cce28beb01665724c016903650539d095c671d98f1de3
Info: unprotected: 1254034761932
Secret: protected: 1254035122004
Date: 27/09/09 08:05

请注意，在上面的响应中，在第一个未受保护的请求中设置的会话数据（时间戳为的值）已在整个过程中发送，因为 Tomcat 使用相同的会话，因为会话 ID 是相同的。这当然是不安全的。但是，请注意，SSL ID 每次都不同，如果您使用这些 ID 键入会话数据（例如，如图所示），则应该安全。如果我刷新我的Firefox标签，这是回应：1254034761932

URI: /EchoWeb/personal/protected
SID: 9ACCD06B69CA365EFD8C10816ADD8D71
SSLID: 4abf0d67549489648e7a3cd9292b671ddb9dd844b9dba682ab3f381b462d1ad1
Info: unprotected: 1254034761932
Secret: protected: 1254034791333
Date: 27/09/09 08:05

请注意，SSLID 与早期的 Firefox 请求相同。因此，服务器可以使用 SSL ID 值来区分会话。特别要注意的是，对于从 Firefox 会话发出的每个请求，“受保护的数据”是相同的，但对于每个欺骗会话都是不同的，并且也与 Firefox 会话不同。

答案 2

我认为它是设计成这样的。您不能将访问控制基于会话。您需要使用其他参数。您需要添加身份验证并使用基于角色的控制。

在Tomcat中，有保护，但恰恰相反。如果在安全区域获得会话，则该会话不会传输到未受保护的区域。Tomcat 通过在 Cookie 上设置“安全”标志来实现此目的，因此 Cookie 不会发送到 HTTP 连接。