flawopen.com/Vulnerabilities/会话固定与 Cookie 安全

会话固定：登录时轮换 ID（CWE-384）

核心概念与子系统术语

会话固定

会话管理缺陷：应用接受攻击者已知的标识，并在受害者登录后继续保留该标识。

会话 ID 轮换

当认证导致会话权限提升时，签发新的、不可预测的标识。只保留应用确实需要继续使用的会话数据。

Cookie 属性

Secure 将 Cookie 传输限制为 HTTPS；HttpOnly 阻止 JavaScript 读取 Cookie；SameSite 控制部分跨站 Cookie 发送。它们应对不同风险，不能替代 ID 轮换。

__Host- 前缀

在支持该机制的浏览器中，要求 Cookie 通过 HTTPS 设置并带有 Secure、Path=/，且不含 Domain 属性。它有助于阻止相邻子域为父域设置同名 Cookie。

分步骤攻击流程

机制与根本原因

会话固定同时要求攻击者影响受害者使用的标识，并且应用在登录成功时没有替换它。Cookie 属性可以纵深防御，但都不能替代 ID 轮换：HttpOnly 限制脚本读取，Secure 限制为 HTTPS 传输，SameSite 减少部分跨站发送，__Host- 则在支持的浏览器中限制 Cookie 作用域。

# VULNERABLE: custom session code keeps the pre-authentication ID.
def login_view(request):
    user = authenticate(request, request.POST["username"],
                        request.POST["password"])
    if user is not None:
        # BUG: privilege changes, but the session ID does not.
        request.session["user_id"] = user.pk
        request.session["authenticated"] = True
        return redirect("/account/")
    return redirect("/login/")

# HARDENED: Django login() rotates the session key on authentication.
from django.contrib.auth import authenticate, login

def login_view(request):
    user = authenticate(request, request.POST["username"],
                        request.POST["password"])
    if user is not None:
        # Uses Django's supported authentication/session integration.
        login(request, user)
        return redirect("/account/")
    return redirect("/login/")

# settings.py: use HTTPS, host-only scope, and a deliberate SameSite policy.
SESSION_COOKIE_NAME = "__Host-sessionid"
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_HTTPONLY = True
SESSION_COOKIE_SAMESITE = "Lax"
SESSION_COOKIE_PATH = "/"
SESSION_COOKIE_DOMAIN = None

攻击序列与概念示例

• 1前提条件： 另一个漏洞或功能允许攻击者影响受害者浏览器将发送的 ID。
• 2已知 ID： 攻击者能够识别或重用同一个匿名会话 ID。
• 3身份认证： 受害者登录时，浏览器仍继续发送攻击者已知的 ID。
• 4未轮换： 应用提升现有会话的权限，却没有替换其标识。
• 5有条件的影响： 只有当已知 ID 仍有效且可用时，攻击者才能访问已认证会话。

工程防护与预防规则

• ✓权限变化时轮换 ID： 在登录及其他权限提升时生成不可预测的新 ID；按照框架文档使旧 ID 失效。
• ✓使用框架认证 API： 优先使用框架支持的登录和会话集成（Django 使用 django.contrib.auth.login()），不要手动把身份字段写入会话。
• ✓拒绝攻击者可控的 ID： 不接受 URL 中的会话 ID。防止相邻子域注入 Cookie，并测试自定义 Cookie/会话处理逻辑。
• ✓按实际用途设置 Cookie 属性： 使用 Secure 和 HttpOnly；考虑使用带 Path=/ 且没有 Domain 的 __Host- 名称。根据合法的跨站登录流程选择 SameSite=Lax 或 Strict；需要 CSRF token 时，SameSite 不能替代它。
• ✓验证会话转换： 在自动化测试中记录匿名 ID、完成认证、断言 ID 已变化，并确认旧 ID 无法访问已认证会话。