http连接是无状态的,但web程序交互中经常又需要状态。所以目前流行的基本是Cookie,Session结合方式来管理,Cookie中会带一个会话标识,如果不用cookie,可能会将会话标识跟在地址栏后面。但也有不通过Session这样方式的,使用自定义的方式来维护状态。但有一点一定要注意,不能用递增的明码ID来做会话状态标识,危险性太大。下面举例说明。
前些时间,发现有个网站,是flash做的游戏,因为玩了游戏,有积分,积分呢可以抽奖,具体什么网站我就不透露了~~
于是,我就搞个程序玩,下了flash研究了下源码,配合firebug看看网络收发网络数据,惊奇的发现该网站维持用户会话是使用递增的ID,也就是说,我只要发个Cookie,带上userID,我就可以去提交积分了,连登录都不用登了。抽奖品也需要人品的,所以获不获奖是另外一码事,但写这样的程序还是有乐趣的~~
事后,我一想,如果是这样的话,那我岂不是可以伪造任何人的信息了么?因为Cookie可以用js来增删改的。
我随即验证了下,发现想法成立,然后我就再也不敢往下研究了。。。本来是娱乐玩,如果这样深入下去想搞破坏也不是难事。因为我可以遍历出所有用户的信息,然后,可以以这些用户的身份提交虚假信息。也就是说,我可以把中奖人的联系方式给改掉。提交成我的或者错误都有可能。但我不敢研究下去了。到此为止,这样下去,一是我品格不允许,二是可能会搞出事情来,毕竟我只是名普通的程序员,家有妻儿,我不要搞出什么事情来。。。
不知道是不是flash与后台交互时,这方面有什么障碍。我不太清楚网站方为何是用递增ID来维持会话的。
但不管怎样,请记住一点,千万不可用明码递增的标识来标识会话。太不安全,太危险了,后患无穷。至少也加个密是吧!
分享到:
相关推荐
一个公司的网站规划草案, 其中涉及的安全和会话管理知识令人读后获益匪浅。 相信我,如果你正在规划建立一个网站, 一定应该认真读读。
web临时会话所需的js文件,里面还有之前用过的bootstrap的js文件
这是一个关于Java Web 会话 的经典例题 可以直接运行使用
011-Web安全基础7 - 会话管理漏洞
web开发qq临时会话 下载地址
1. 证书应用之web安全通信 2. 证书管理 3. PKI应用 一.安全Web通信 1.无认证(服务器和客户端均不需要身份认证) 通常在Web服务器端没有做任何加密设置的情况下,其与客户端的通信是以明文方式进行的。 (1)...
Web的会话跟踪刨析
将上述的会话Bean组件部署到GlassFish5.0服务器中,然后分别编写一个可以调用该组件的Java应用程序和Web应用程序,用户可以通过它们输入身份证号码,得到其输出的验证结果。Java应用程序和Web应用程序的用户界面请...
tomcat共享多个web应用会话的实现方法 问题 今天有位朋友问了个问题,大致是:tomcat下两个Java web,一个是商城,一个是直播,从商城登录后,再跳转到直播,发现处于非登录状态。 解决思路 将session抽出来成一个...
C# Web应用程序入门经典 作者:(阿根廷)卡祖利诺等 著,侯彧,王晓娜 译 出版社:清华大学出版社 出版时间:2003年08月 第1章 环境和体系结构 1.1 Web模式 1.2 为Web开发配置系统 1.3 动态Web...
·介绍计划Web应用程序,包括用户界面和用户管理。 ·提供关于保证Web应用程序安全性的系统化指南。 ·涵盖广泛的实现问题——包括国际化、错语处理、数据验证、调试、会话管理和部署。 ·关于XML、基于XML的Web服务...
了解会话管理机制
Web应用中需要存储包含多个网页的信息时,一般会使用PHP或Servlet容器等提供的会话管理机制。通常情况下,会话管理机制仅将会话ID保存至Cookie,而将数据本身保存在Web服务器的内存或者文件、数据库中。如果在Cookie...
重要声明:本微信小程序会话管理客户端代码是探索阶段的产物,仅供研究学习,其使用的协议、算法均未和微信最新的要求对齐。生产环境请移步使用 Wafer。 微信小程序会话管理中间件 微信的网络请求接口 wx.request() ...
适用于 Web 应用程序的可扩展性能 采用 VMware vFabric GemFire HTTP 会话管理和 Hibernate 缓存模块
webservice5 会话管理 webservice5 会话管理 webservice5 会话管理
使用Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序
code元素 20 8.2 exception-type元素 21 9 提供安全性 23 9.1 指定验证的方法 23 9.2 限制对Web资源的访问 25 9.3 分配角色名 26 10 控制会话超时 27 11 Web应用的文档化 27 12 关联文件与...