Seanso užgrobimas praktiškai: kaip užpuolikai vagia jūsų seansą
Tai ne teoriškai, tai vyksta realybėje pipelines, kompiliacijos ir naršyklės sesijos. Užpuolikai naudoja įvairias realias taktikas sesijos užgrobimui, įskaitant:
- Šnipinėjami slapukai, siunčiami per HTTP (be TLS)
- Prieigos žetonų vagystė arba JWTs saugoma žurnaluose
- Pakartotinis žetonų arba slapukų naudojimas iš pasenusių testavimo aplinkų
Pavyzdys: Slapukas išsiųstas per HTTP
⚠️Įspėjimas: Šiame pavyzdyje parodytas nesaugus slapukų perdavimas.
Be HTTPS, MITM užpuolikas gali pavogti sesiją ir apsimesti vartotoju.
Pavyzdys: prieigos raktas atskleistas žurnaluose
⚠️Neregistruokite žetonų; užpuolikai, turintys prieigą prie CI žurnalų, gali akimirksniu užgrobti sesiją.
Kodo lygio klaidos, kurios įgalina sesijos užgrobimą
Dauguma sesijos užgrobimo atakų neprasideda nuo spragų išnaudojimo; jos prasideda nuo blogo kodo. Štai kas atveria duris:
Užkoduotos paslaptys
⚠️Kietai užkoduotos paslaptys leidžia nuspėjamai generuoti žetonus.
Trūksta saugių žymų slapukuose
⚠️Ne HttpOnly, ne Užtikrinkite, ne „SameSite“Tai sesijos užgrobimas, kuris laukia, kol įvyks.
Saugesnė versija:
Žetonų pakartotinis naudojimas įvairiose aplinkose
- Testavimo aplinkoje sukurti žetonai kopijuojami į testavimo arba net gamybos aplinką.
- Žetonams netaikomas joks taikymo srities ar aplinkos susiejimas.
- Sesijos negalioja ir nesikeičia.
Visi šie modeliai tiesiogiai įgalina užgrobimą.
CI/CD bei Pipeline Riziką didinančios spragos
CI/CD dažnai sustiprina tai, ko kūrėjai nepastebi vietiniame kode. PipelineSu sesijos užgrobimu susiję vektoriai apima:
- Nutekėjo leidimas antraštės kūrimo žurnaluose
- Statiniai sesijos raktai, saugomi .NS failai commitTed į Git
- Žetonų pakartotinis naudojimas tarp pipeline etapai
Tikroji rizika: CI žurnale atspausdintas žetonas
⚠️Sesijos žetonai niekada neturėtų būti spausdinami ar atkartojami.
Rizikingas .env tvarkymas
⚠️Jei šis failas nutekės, gali būti pažeistos visos ankstesnės sesijos.
Seanso užgrobimas nesibaigia ties programėle; jis juda per pipelineir aplinkos.
Seanso užgrobimo prevencija, integruota į kūrėjų darbo eigas
Norėdami sustabdyti vagystę, Prevencija turi būti integruota į kūrimo ir teikimo darbo eigą.
Prevencijos kontrolinis sąrašas:
- Visada nustatyti slapukų žymes: „HttpOnly“, „Secure“ ir „SameSite“
- Niekada neregistruoti žetonų ar sesijos identifikatorių
- Naudokite HTTPS visose aplinkose (vietinėje, testavimo, gamybinėje)
- Reguliariai keiskite sesijos paslaptis ir raktus
- Užtikrinkite, kad žetonai greitai nustotų galioti ir nebūtų pakartotinai naudojami
- Susieti sesijas su kliento atributais (IP, vartotojo agentu)
- Apimties žetonai kiekvienai aplinkai (nenaudokite produkto žetonų pakartotinai bandyme)
- Naudokite trumpalaikius prieigos žetonus su atnaujinimo mechanizmais
- Venkite užprogramuotų paslapčių ar raktų šaltinio kode
- Patvirtinti visą su sesija susijusią logiką sesijos metu CI/CD pipelines
Saugesnio CI pavyzdys:
Seanso užgrobimo prevencija reiškia, kad CI turi tapti antrąja gynybos linija.
Nuo vietinės klaidos iki tiekimo grandinės grėsmės: posūkis į kairę su „Xygeni“
Tai, kas prasideda kaip bloga slapukų konfigūracija, gali virsti visišku pažeidimu, jei nebus imtasi veiksmų. Tokios priemonės kaip Ksigeni sudaryti sąlygas:
- Seanso prieigos rakto srauto sekimas iš kodo į produkciją
- Aptikti trūkstamus slapukų atributus šaltinyje
- Ieškokite paslapčių .NS, konfigūracijos arba žurnalai
- Stebėti nesaugias sesijos praktikas trečiųjų šalių paketuose
„Xygeni“ padeda užkirsti kelią vietinių sesijų problemoms tapti užgrobimo atakų vektoriais visoje tiekimo grandinėje.
Uždaromos durys prieš pagrobimą
Jei aktyviai to neužkertate, paliekate duris atviras. Kiekviena nesaugi slapukų žymė, nutekėjęs prieigos raktas ir pasenusi sesija yra puiki vieta užpuolikams.
Į savo kodo bazę įtraukite sesijos užgrobimo prevenciją ir CI/CDStebėkite seansų srautus skirtingose aplinkose. Naudokite tokius įrankius kaip „Xygeni“, kad pastumtumėte į kairę ir sustabdytumėte seansų užgrobimo kelius, kol jie nepasiekė gamybinės aplinkos. Apsaugokite sesiją, kitaip užpuolikai ją panaudos prieš jus.
