Session劫持是什么，如何防止?
Session劫持是指攻击者通过非法手段获取用户的Session ID（会话标识符），从而冒充用户身份访问受保护资源的安全攻击。Session ID通常用于在无状态的HTTP协议中维持用户登录状态，一旦被窃取，攻击者可绕过身份验证，执行未授权操作。
Session劫持的常见手段
- 网络嗅探
攻击者通过监听未加密的网络流量（如HTTP）截获Session ID。 - 跨站脚本攻击（XSS）
利用网站漏洞注入恶意脚本，窃取用户Cookie中的Session ID。 - 中间人攻击（MITM）
在通信链路中拦截并篡改数据，获取Session ID。 - Session固定攻击（Session Fixation）
诱使用户使用攻击者预设的Session ID登录，从而控制会话。 - 预测Session ID
若Session ID生成算法不安全，攻击者可能猜测有效ID。
防御Session劫持的关键措施
1.强制使用HTTPS
- 全程加密通信（包括登录和后续请求），防止网络嗅探。
- 设置HTTP响应头 Strict-Transport-Security (HSTS) 强制浏览器使用HTTPS。
2.安全设置Cookie属性
- Secure：仅通过HTTPS传输Cookie，防止明文泄露。
- HttpOnly：禁止JavaScript访问Cookie，防范XSS窃取。
- SameSite：设为 Strict 或 Lax，阻止跨站请求携带Cookie（防御CSRF和部分Session劫持）。
3.强化Session ID管理
- 随机性与复杂度：使用强随机数生成Session ID（如UUIDv4）。
- 及时销毁：用户登出后立即使旧Session ID失效。
- 绑定用户信息：将Session ID与用户IP、User-Agent等特征绑定，异常时要求重新认证。
- 定期更换：在敏感操作（如修改密码）后生成新Session ID，或设置较短过期时间。
4.防范XSS攻击
- 对用户输入进行严格过滤和转义（如使用HTML实体编码）。
- 设置CSP（内容安全策略）头，限制脚本来源。
5.防止Session Fixation
- 用户登录成功后重新生成Session ID，而非沿用旧ID。
- 拒绝接受来自URL参数（如?sessionid=xxx）的Session ID。
6.服务端防护
- 限制同一用户的并发Session数量。
- 记录并监控异常Session活动（如IP突然变更、频繁请求）。
7.客户端安全实践
- 提醒用户避免使用公共Wi-Fi访问敏感服务。
- 提供“注销所有设备”功能，允许用户主动终止所有活跃会话。
总结
Session劫持防御需多层面综合措施：加密通信确保数据安全传输，安全Cookie设置防止信息泄露，严格的Session管理降低被盗风险，代码层面防护消除XSS等漏洞。同时，定期安全审计和渗透测试可帮助发现潜在风险。
