URL中允许携带sessionid带来的安全隐患

URL中允许携带sessionid带来的安全隐患2012-02-24 博客园 BearRui很多WEB开发语言为了防止浏览器禁止了cookie而无法识别用户，允许在URL中携带sessionid，这样虽然方便，但却有可能引起钓鱼的安全漏洞。

图示：

下图是从测试组发来的安全报告中剪出来的，图有些小问题，本来想重画1个，在visio中没找到合适的图。所以只能用别人的图了。

说明：

让我们对上图的步骤进行详细说明：

1. 黑客用自己的帐号登录,假设登录页面是:http://www.abc.com/login.jsp

2. 服务器返回登录成功。

3. 黑客从cookie中查看自己的sessionid，比如是1234

4. 黑客把带自己sessionid的地址发送给一般用户。http://www.abc.com/login.jsp;jsessionid=1234（不同的语言带sessionid的方式不一样，着是jsp的方式）

5. 用户在黑客给的地址中用自己的帐号进行登录，登录成功。（这个时候用户登录的信息就会覆盖黑客之前的登录信息，而且2个人用的是同1个sessionid） 6. 黑客刷新页面，看到的账户信息就是用户的信息了，而不是之前黑客自己帐号的信息。