黑客利用跨站脚本漏洞实现HTTP会话劫持详解

在Web应用中，区分用户身份主要依赖两种机制：Cookie与Session（也称为会话型Cookie）。Cookie存储在用户本地，过期时间较长，若被攻击者窃取，便可伪造身份登录。而Session数据保存在服务器端，会话结束后即失效，难以被直接利用。因此，通常认为Session认证比Cookie认证更为安全。

然而，Session难以利用并不代表完全无法攻击。下面通过一个具体案例，演示一次简单的HTTP会话劫持过程。

以ASP技术为例。ASP程序如何获取客户端的Session？通过抓包分析会发现，HTTP请求的Cookie字段中包含一个名为ASPSESSIONIDXXXXXXXX（X为随机字母）的标识，ASP依靠该值来识别对应Session。如果能获取管理员的这个ID及其值，在会话过期前提交给服务器，那么服务器便会认为你就是管理员本人。

那么，如何获取Session？答案是利用跨站脚本攻击（XSS）。JavaScript中的document.cookie方法可以读取Cookie，包括会话型Cookie。

如果你关注Web安全领域，应该见过那些用于记录跨站Cookie的脚本。现在我们需要一个类似的程序，但功能并非记录，而是立即转发——因为管理员的会话随时可能失效。实现语言不限，ASP、PHP、Perl、C均可，此处我选择使用ASP。

编写该程序之前，必须先摸清目标程序，明确需要提交哪些请求。先来看本例中被跨站攻击的目标程序。

这里选中的是WebAdmin 1.4——一个自编程序，漏洞自然最清楚（笑）。WebAdmin是一款基于ASP.NET的webshell，采用Session认证。在1.4版本中，目录浏览的URL处存在跨站漏洞（图1）。

500)this.width=500" title="点击这里用新窗口浏览图片" />

于是在src中构造了如下路径：“E:a=’’;document.write(a);”。这段代码会将当前cookie作为参数提交给www.0x54.org/test/cc.asp文件。

cc.asp的逻辑如下：获取管理员的Session，然后利用WebAdmin的文件编辑功能，查看222.210.115.125（被攻击的Web服务器，实际为测试本机）上E:\MyWeb\webadmin.aspx文件的内容，并将结果保存到本地的a.txt中。数据提交使用了ServerXMLHTTP组件，它与XMLHTTP既有相似之处也有不同，具体可参考《ServerXMLHTTP vs XMLHTTP》。

一切就绪后，先登录WebAdmin，再访问构造好的跨站URL，然后查看http://www.0x54.org/test/a.txt，得到的内容如图：

500)this.width=500" title="点击这里用新窗口浏览图片" />

如果直接访问cc.asp，生成的a.txt将是登录界面的源文件。

至此，本次HTTP会话劫持测试告一段落。总体而言，实施这样一次攻击难度不小。不过话说回来，在技术领域，除了复制代码，还有不需要努力就能做好的事吗？