Web 攻防之业务安全：Session会话注销测试.

Web 攻防之业务安全：Session会话注销测试.

业务安全是指保护业务系统免受安全威胁的措施或手段。广义的业务安全应包括业务运行的软硬件平台（操作系统、数据库，中间件等）、业务系统自身（软件或设备）、业务所提供的服务安全；狭义的业务安全指业务系统自有的软件与服务的安全。

---

目录：

Session会话注销测试：

测试原理和方法：

测试过程：

第一步：在登录授权的系统页面时使用 Burp Suite 工具进行请求数据拦截，然后备份Session 认证的参数记录.

第二步：在Burp Suite 工具中数据拦截窗口中使用鼠标点击右键，然后会弹出菜单则选择Repeater 将请求的数据发送到 Repeater 模块中.

第三步：然后退出已经登陆系统.

第四步：返回 Burp Suite 工具中的 Repeater 模块中再次利用原来的Session认证值进行访问，然后点击 GO 按钮，并查看系统是否对退出后的用户授权进行解除授权.

修复建议:

---

免责声明：

严禁利用本文章中所提到的技术进行非法攻击，否则后果自负，上传者不承担任何责任。

---

Session会话注销测试：

测试原理和方法：

Session 是应用系统对浏览器客户端身份验证的属性标识，在用户注销或退出应用系统时，系统应将客户端 Session 认证属性标识清空。如果未能清空 Session 认证会话，该认证会话将持续有效，此时攻击者获取该 Session 认证会话会导致用户权限被盗取。

---

测试过程：

该项测试主要在用户注销退出系统授权后，判断授权 Session ID 值认证是否依然有效，若授权认证 Session ID 值依然有效则存在风险。

第一步：在登录授权的系统页面时使用 Burp Suite 工具进行请求数据拦截，然后备份Session 认证的参数记录.

---

第二步：在Burp Suite 工具中数据拦截窗口中使用鼠标点击右键，然后会弹出菜单则选择Repeater 将请求的数据发送到 Repeater 模块中.

---

第三步：然后退出已经登陆系统.

---

第四步：返回 Burp Suite 工具中的 Repeater 模块中再次利用原来的Session认证值进行访问，然后点击 GO 按钮，并查看系统是否对退出后的用户授权进行解除授权.

---

修复建议:

在用户注销或退出应用系统时，服务器应及时销毁 Session 认证会话信息并清除客户端浏览器 Session 属性标识.

   

    

学习的书籍：Web 攻防之业务安全实战指南.