会话固定攻击（Session Fixation）：永不失效的凭证陷阱

1. 漏洞核心原理

会话固定攻击 是一种利用服务端会话管理缺陷的攻击方式。攻击者预先设定受害者的会话ID，诱导用户使用该ID登录后，攻击者即可劫持已认证的会话。

攻击三要素：

1. 会话ID可预测/可注入：如URL参数、Cookie手动设置

2. 登录不更新会话ID：认证前后SessionID保持不变

3. 无绑定验证：会话未与IP/User-Agent等绑定

2. 攻击场景与复现

(1) URL会话固定（PHP经典案例）

GET /login.php?sessionid=ATTACKER_SESSION_ID HTTP/1.1
Host: victim.com

--> 用户点击链接登录后，攻击者直接使用该sessionid访问

(2) Cookie注入（跨站Cookie设置）

// 恶意网站代码
document.cookie = "PHPSESSID=ATTACKER_SESSION_ID; domain=victim.com; path=/";

(3) 隐藏表单固定（ASP.NET ViewState）

<input type="hidden" name="__VIEWSTATE" value="ATTACKER_TOKEN">

3. 自动化检测工具

// Java最佳实践 - 登录后重置会话
request.getSession().invalidate();
HttpSession newSession = request.getSession(true);

// PHP防御方案
session_regenerate_id(true); // 删除旧会话文件

{
  "rule": {
    "name": "Session-Fixation",
    "condition": {
      "type": "URI",
      "pattern": "\\?.*(sessionid|jsessionid)="
    },
    "action": "BLOCK"
  }
}

GET /login?sessionid=pen_test_123 HTTP/1.1
Host: target.com

--> 登录后检查是否仍使用原sessionid