hôm nay chúng ta sẽ biết tất cả về tấn công chiếm

đoạt phiên được hiểu 1 cách đơn giản là ví dụ như

bạn bên trong một căn phòng trong đó tồn tại tất cả
những thứ riêng tư thuộc về bạn và rồi đột nhiên bạn
quyết định rời khỏi phòng cho một khoảnh khắc vì 1
lí do nào đó và quay lại và bởi vì quá trình mở cửa và
đóng cửa thật khó khăn vì tính bảo mật các biện pháp
họ nghĩ là rời khỏi cửa mở trong một thời gian ngắn
không phải là một vấn đề lớn vì vậy họ mở cửa và rời
đi và ngay sau khi bạn biến mất tên trộm đã đợi quá
lâu thời điểm này vào phòng trộm đồ có giá trị
thay thế mọi thứ và tàn phá
và sau đó biến mất, đây là một cực đoan
trường hợp người đó sẽ có thể
nhận ra một cái gì đó đã thay đổi hoặc rất nhiều
những thứ thực sự trong phòng của anh ấy nhưng nếu
tên trộm chụp ảnh cá nhân
thông tin hoặc những thứ khác sẽ
có giá trị đối với kẻ trộm hoặc người
ai đã thuê họ tốt nếu bạn nghĩ điều này
ai đó không may mắn bạn nên biết về
người có phiên web của mình bị tấn công
vì vậy trong bài học này chúng ta sẽ học
về các phiên chúng ta sẽ xem những gì là
chiếm quyền điều khiển phiên và cách hoạt động của nó, chúng tôi sẽ
đi sâu vào các loại chiếm quyền điều khiển phiên và
tất nhiên chúng ta sẽ nói về một số
các biện pháp phòng ngừa hãy đi sâu vào mọi người
vì vậy phần chiếm quyền điều khiển rất giống với những gì
đã xảy ra với người đàn ông không may mắn trong
câu chuyện như việc sử dụng và tồn tại của chúng tôi trong
tăng web chúng tôi tự tìm khách hàng
và người dùng của nhiều dịch vụ trực tuyến
đa dạng từ giải trí đến mua sắm đến
giáo dục để đặt tên cho một số và những gì chúng tôi muốn
trong trường hợp này là để có một trơn tru và
trải nghiệm web liền mạch mà chúng tôi không muốn
đăng nhập mỗi khi chúng tôi muốn thực hiện một
hành động đúng để điều này xảy ra chúng ta cần
một cơ chế theo đó các trình duyệt và
máy chủ ứng dụng có thể tin tưởng lẫn nhau
và giao tiếp thay mặt chúng tôi một cách để
làm điều này là thông qua các phiên được rồi
phiên là gì phiên là thời gian
bạn vẫn hoạt động bằng cách sử dụng một trang web, đó là một
kỹ thuật được sử dụng cho các máy chủ để theo dõi
bạn là ai trong một khoảng thời gian sử dụng một trang web và đó là vì http
là không trạng thái như bạn biết http là
giao thức web vì vậy trong khi
phiên đang hoạt động mọi yêu cầu từ
trình duyệt của bạn sẽ được xác định là
đến từ bạn nếu không mỗi khi bạn
thực hiện một yêu cầu mới bạn phải nói với
máy chủ này lại là tôi và đây là của tôi
id cá nhân đây không phải là một cách tốt để
phục vụ web và không có cách nào
máy chủ có thể biết khi nào bạn hoàn thành
một trang web để phiên kết thúc
bằng cách bạn đăng xuất hoặc thông qua một
cơ chế mở rộng chúng ta sẽ nói về
rằng trong các biện pháp an ninh, nó có giá trị
lưu ý rằng chúng tôi cần phiên vì như
chúng tôi đã nói http là vô vị, nó được xây dựng
không giữ thông tin về người dùng vì vậy
phiên giúp chúng tôi liên kết các yêu cầu với
các yêu cầu khác không có phiên nếu bạn
đang ở trên trang nguồn cấp tin tức facebook và
muốn truy cập hồ sơ của bạn, bạn sẽ
phải đăng nhập lại và đó sẽ là
chờ đợi siêu rườm rà hả bạn biết gì không
tôi mới nhận ra tính năng phiên là
lý do đằng sau facebook và xã hội
nghiện phương tiện truyền thông đã có phiên không bao giờ
tồn tại chúng ta sẽ được sống trong một tốt hơn
thế giới bây giờ
đó là
wow http thực sự là một hoàn hảo không tì vết
giao thức dù sao nó cũng vượt quá so sánh
khi bạn lần đầu tiên đăng nhập vào một ứng dụng web, bạn
chắc chắn đăng nhập bằng tên người dùng của bạn và
mật khẩu đúng máy chủ có thể sử dụng này
thông tin cùng với những thứ khác để tạo ra
một id duy nhất hoặc một khóa và chuyển nó trở lại
trình duyệt web và điều này đánh dấu sự khởi đầu
của một phiên, id là gì nữa
yêu cầu sẽ sử dụng để xác thực bạn
và nói chuyện với máy chủ và tất nhiên
id này được gọi là id phiên bây giờ bạn
biết chúng ta không sống trong một thế giới lý tưởng
đúng vậy những gì chúng ta sẽ nói tiếp theo là
mặt tối của con người thật tuyệt
kẻ tấn công có một số thủ thuật dưới
tay áo của họ để thỏa hiệp hệ thống thép
dữ liệu nhạy cảm và thực hiện độc hại hành động chúng tôi đã thấy một loạt các
các cuộc tấn công mà họ sử dụng chiếm quyền điều khiển phiên là
một trong số họ trong kiểu tấn công này
hacker thúc đẩy trang web suy nghĩ
họ là bạn và sau đó có thể làm bất cứ điều gì
bạn có thể làm trên trang web tin tặc biết
cách máy chủ sử dụng id phiên để
xác định người dùng để họ sẽ cố gắng tìm
cách để đánh cắp những id đó hoặc thậm chí tìm
các cách để lừa người dùng sử dụng id mà họ
có quyền kiểm soát cái được gọi là
chiếm quyền điều khiển phiên cố định phiên là
dù sao thì kẻ tấn công cũng có thể giành quyền kiểm soát
phiên của người dùng mà họ không biết
bây giờ để hiểu làm thế nào chiếm quyền điều khiển phiên
công việc chúng ta phải hiểu một vài
mọi thứ đúng đắn đầu tiên trình duyệt theo dõi
của các khóa phiên được sử dụng để
xác định tài liệu người dùng.cookie là một
thuộc tính chứa tất cả cookie và
bạn có thể đọc và viết các giá trị trong
document.cookie sử dụng javascript và
điều thứ hai là giao tiếp qua
internet được thực hiện thông qua các gói
thông tin khi chúng tôi gửi yêu cầu http
đến máy chủ, dữ liệu là văn bản nó nhận được
được chia thành các gói và gửi đến
điểm đến và chúng tôi cần một cách để an toàn
đưa dữ liệu đến đích
thật không may, không phải tất cả các cài đặt đều an toàn
và đôi khi mạng thông qua đó dữ liệu được gửi không an toàn như
điểm truy cập wi-fi không an toàn khác
điều quan trọng cần biết là cả máy chủ và trình duyệt đều theo dõi

khóa phiên và có thể có nhiều

cách để truy cập các tập tin lưu trữ và
cơ sở dữ liệu ở cả hai đầu nếu bảo mật
những kẻ tấn công hiện không có biện pháp
biết tất cả những thứ này và hơn thế nữa và điều này
cung cấp cho họ rất nhiều tùy chọn để chiếm quyền điều khiển
phiên người dùng ổn vì vậy trước khi tôi nói
về các loại phiên cụ thể
chiếm quyền điều khiển hãy nhớ rằng có

ba cách chính để đánh cắp một hợp lệ

id trạm đầu tiên tất nhiên là đoán một
khóa phiên hợp lệ thông qua vũ phu

và thứ hai là tạo một phiên hợp lệ

khóa và điều chỉnh người dùng sử dụng nó
như của riêng họ và người thứ ba đang ăn cắp một
khóa phiên hợp lệ từ máy khách hoặc
máy chủ ổn rồi nên loại đầu tiên tôi
muốn nói về việc chiếm quyền điều khiển phiên
thông qua kịch bản chéo trang nếu bạn không biết nhiều về cuộc tấn công này,
bạn

có thể truy cập video ngắn của tôi về nó

kịch bản chéo trang là một cách để tiêm
mã vào các trang web để khi
ứng dụng đang hoạt động hoặc trang đang
đã tải mã thực thi thường là
javascript và kẻ tấn công có thể đơn giản
tiêm mã đọc tài liệu đó
cặp giá trị khóa cookie và gửi
dữ liệu đến máy chủ của tin tặc, đây là
phổ biến nhất và có thể là nhiều nhất
loại tấn công phiên nguy hiểm
kẻ tấn công đầu tiên tìm thấy một
lỗ hổng trên máy chủ hoặc máy khách
bên đó họ tiêm mã độc
vào trang web làm thế nào kẻ tấn công có thể
tiêm mã là một câu chuyện khác mà họ có thể
làm điều đó thông qua hình thức đầu vào thông qua các liên kết
vv và một lần nữa nếu bạn muốn có một lời giải thích chi tiết về điều này, bạn
có thể tìm thấy nó

trong video mô tả trang web chéo

bài học và tất nhiên nếu không có
vệ sinh đầu vào kẻ tấn công có thể
dễ dàng lấy khóa phiên, vậy điều gì sẽ xảy ra
thường xảy ra là kẻ tấn công
tìm thấy một tập lệnh chéo trang
lỗ hổng trong ứng dụng web mà họ đưa vào
mã độc sẽ đọc và đánh cắp
các khóa phiên của người dùng bây giờ theo dõi
đã được đặt ngay khi người dùng đăng nhập vào
ứng dụng web mà máy chủ xác định
người dùng tạo và gửi khóa phiên tới

trình duyệt của người dùng khi thành công

xác thực không may ở đây
thời điểm mã được tiêm đang chờ
người dùng đăng nhập khi điều đó xảy ra
trình duyệt của nạn nhân thực thi javascript

mã và kẻ tấn công chiếm quyền điều khiển

phiên sau khi họ nhận được khóa phiên
không phải là một câu chuyện hạnh phúc đúng không
loại thứ hai được gọi là
jacking đây chỉ là một cách ưa thích để
mô tả một kỹ thuật hack được gọi là người đàn ông
trong cuộc tấn công giữa, kỹ thuật này là
được sử dụng để lấy khóa phiên thông qua
đánh hơi kẻ tấn công có thể dễ dàng tham gia
trong giao tiếp giữa máy chủ
và trình duyệt của người dùng nếu
phía khách hàng đang sử dụng mạng không an toàn
vì vậy thông qua gói đánh hơi kẻ tấn công
có thể quan sát sự giao tiếp giữa
máy chủ và máy khách và chặn

cookie phiên khi người dùng

xác thực trên máy chủ tin tặc lấy
lợi thế của các trang web sử dụng ssl tls
chỉ mã hóa cho bước đăng nhập và
không phải cho toàn bộ phiên để thực hiện
kiểu tấn công này và tất nhiên khi chúng ta
cho biết các điểm wi-fi không an toàn giúp ích rất nhiều
khi kẻ tấn công nhận được mong muốn
gói họ có thể có quyền truy cập vào
phiên hoạt động của người dùng và mạo danh
họ làm những điều bất chính yep other
câu chuyện buồn và có một vài điều nữa nhưng
tin tốt là chúng ta sẽ học cách
để ngăn chặn những loại câu chuyện và
tạo ra những cái hạnh phúc hầu hết thời gian của
tất nhiên vì vậy hãy tiếp tục theo dõi nhé phiên
chiếm quyền điều khiển bằng phần mềm độc hại hoặc phần mềm độc hại là một
cách khác để có được hợp lệ

khóa phiên khi người dùng nhấp vào một

liên kết độc hại sẽ kích hoạt một
tải về một phần mềm độc hại
phần mềm độc hại được tải xuống và cài đặt trên
khách hàng hoặc máy tính của người dùng một lần
trong hệ thống nạn nhân, nó có thể sử dụng mạng
đánh hơi các tin nhắn dựa trên web để
phát hiện dữ liệu phiên và gửi chúng đến
thủ phạm phần mềm độc hại cũng có thể
truy cập tệp lưu trữ cục bộ cho
trình duyệt tìm cookie phiên được rồi
vì vậy đây là một loại phiên khác
không tặc và tôi có một vài điều nữa nhưng

hai loại cuối cùng này được phân loại là

cố định phiên và dự đoán phiên
cố định phiên tương ứng là một
kiểu tấn công hơi khác trong
rằng tin tặc bắt đầu cuộc tấn công trước
người dùng đăng nhập thực sự là kẻ tấn công
sẽ có một khóa phiên hợp lệ tại
xử lý và cố gắng gây ra hoặc ép buộc
nạn nhân đăng nhập vào
trang web mong muốn sử dụng id phiên
được tiêm bởi kẻ tấn công có rất nhiều các cách thực hiện kiểu tấn công này http
tham số truy vấn là một cách để vượt qua
khóa phiên hợp lệ cho nạn nhân liên kết
sẽ đưa nạn nhân đến một hình thức đăng nhập và
sau khi ủy quyền thành công
id phiên được tiêm sẽ được sử dụng để
xác định người dùng cho các yêu cầu tiếp theo
kẻ tấn công bây giờ có thể chiếm quyền điều khiển của nạn nhân
phiên và làm tất cả các loại thông tin
kỹ thuật được sử dụng để khắc phục trích dẫn
id phiên sẽ phụ thuộc vào cách
ứng dụng xử lý các phiên nó có thể là
đơn giản như gửi một url độc hại hoặc
kẻ tấn công có thể phải tạo một giả mạo
trang web với một hình thức đăng nhập sẽ
chứa khóa phiên bị ẩn
kịch bản chéo trang có thể được sử dụng để
thay đổi cookie phiên hoặc thao tác
các giá trị tiêu đề http và cuối cùng
kẻ tấn công có thể dùng đến vũ lực
để đoán hoặc dự đoán khóa phiên
nhiều công cụ sẽ giúp đạt được
rằng kỹ thuật này là có thể nếu
trang web sử dụng một cơ chế yếu để tạo
id phiên sử dụng id ngắn có thể dự đoán
sẽ giúp kẻ tấn công dễ dàng
đoán phím trạm nói chung là những
là các loại tấn công tìm kiếm chính
lặn sâu hơn trong các cuộc tấn công này là vượt quá
phạm vi của video này nhưng điều này nên
cung cấp cho bạn một ý tưởng công bằng về phiên
chiếm quyền điều khiển các lỗ hổng được rồi, vì vậy, việc chiếm quyền điều
khiển là kết quả của

bảo mật web không đủ hoặc và

quản lý phiên không phù hợp ngay bây giờ
hãy nói chuyện làm thế nào để biến những câu chuyện buồn
thành những người hạnh phúc khi nói đến
biện pháp bảo vệ chống lại loại
tấn công như một thông lệ tốt luôn luôn kiểm tra
tính hợp lệ của khóa phiên id phiên
phạm vi từ hết hạn đến rất cũ đến
trùng lặp và nên có một
cơ chế thông qua đó khóa phiên được
đã kiểm tra và xác nhận cũng không chấp nhận
số nhận dạng phiên từ bài đăng và nhận
yêu cầu đây chỉ là một mở đầu tốt cho
tin tặc để sửa id phiên khoa học ngọt ngào
bây giờ có một vài điều mà
có thể được thực hiện để giảm cơ hội cho người dùng
các phiên bị tấn công trước tiên hãy sử dụng https cho tất cả lưu lượng truy cập
và điều đó có nghĩa là phiên
lưu lượng cũng như sử dụng tls ssl cho tất cả
lưu lượng truy cập của bạn đảm bảo tin tặc không thể
chặn id phiên văn bản thuần túy mất
một cái nhìn về vận chuyển http strix
chính sách để biết thêm về thứ hai này
đặt tiêu đề http đặt cookie thành
chỉ http sẽ ngăn truy cập vào cookie
từ các tập lệnh phía máy khách, vui lòng
xem phần các biện pháp bảo vệ
và video mô tả trên nhiều trang web để
tìm hiểu thêm về các biện pháp bảo mật khác
liên quan đến tập lệnh chéo trang dựa trên
tấn công ổn vì vậy bảo vệ thứ ba
biện pháp là tạo lại id quyết định
sau khi đăng nhập ban đầu ít nhất điều này sẽ

ngăn chặn các cuộc tấn công cố định phiên và

nói về việc thay đổi phím trạm
đặt id phiên hợp lý
ngày hết hạn là một thực hành tốt để
đảm bảo bạn không có phiên hợp lệ
khóa mãi mãi một biện pháp bảo mật khác là
sử dụng các khung và thư viện an toàn
để tạo và quản lý id phiên
cộng đồng xác minh và thư viện đã được chứng minh
chỉ mạnh hơn và an toàn hơn
thực hiện quản lý phiên của riêng bạn
logic nên vâng đó là rất nhiều
thông tin bạn có thể cảm thấy choáng ngợp
và đầu của bạn có thể muốn nổ tung bây giờ
nhưng tin tốt là đây là video bạn
có thể lặp lại nó bạn có thể dừng nó bạn có thể
làm chậm nó xuống và dành thời gian của bạn để
thực sự hiểu những điều này vì vậy những
là những biện pháp an ninh chính được thực hiện để
ngăn chặn chiếm quyền điều khiển phiên khác
những điều quan trọng cần làm và tốt nhất
thực tiễn đang gắn cờ id trạm là
ủy quyền lại an toàn cho người dùng trước
các hành động quan trọng như rút tiền
tiền thay đổi mật khẩu của bạn vv và bạn
có thể quen thuộc với quá trình này nếu
bạn là một người dùng web thường xuyên tuyệt vời vì vậy điều này
phải đủ để thực hiện một chính sách có thể chấp nhận được để đảm bảo an toàn
cho người dùng
phiên của khóa học bảo mật phụ thuộc vào
loại hệ thống và cái gì
tham gia phức tạp hơn các
ứng dụng có nhiều lỗ hổng hơn
nó có và nó sẽ được bảo vệ nhiều hơn
cần các bạn ạ, tôi rất thích chia sẻ
với bạn kiến thức của tôi về phiên không tặc hôm nay chúng ta đã học về
phiên và chiếm quyền điều khiển phiên chúng tôi có
đã thấy các loại tấn công để có quyền truy cập vào
id phiên hợp lệ và tất nhiên chúng tôi
nói về các biện pháp phòng ngừa tôi hy vọng
bạn thích video này và đã học
một cái gì đó mới và đừng quên để lại
cho tôi một bình luận dưới đây nếu bạn có một
câu hỏi hoặc gợi ý hoặc bất cứ điều gì bạn
cũng có thể thích và đăng ký để hiển thị
sự đánh giá cao của bạn đó là nếu bạn muốn
cho đến khi video tiếp theo vẫn ổn và ở lại