Oturum Ele Geçirme

Oturum açtıktan sonra bir web sitesi genellikle tarayıcınıza bir çerezde oturum kimliği ya da JWT gibi bir token verir; böylece her istekte parolanızı sormak zorunda kalmaz. Bu değeri sunan kişi sizmişsiniz gibi işlem görür. Oturum ele geçirme, bu değeri elde etmek ve saldırganın kendi tarayıcısından kullanmaktır; bu da parolayı ve çoğu zaman çok faktörlü kimlik doğrulamayı tamamen atlar.

Saldırganlar oturum token'larını çeşitli yollarla elde eder: HttpOnly olarak işaretlenmemiş çerezleri okuyan XSS betikleri, çerezleri tarayıcıdan kopyalayan kurbanın cihazındaki kötü amaçlı yazılımlar, paylaşılan ağlarda şifresiz HTTP trafiğini dinleme, URL'lerde veya sunucu günlüklerinde sızan token'lar ve tahmin edilebilen zayıf, öngörülebilir oturum kimlikleri. İlgili bir varyant olan session fixation ise tersine çalışır: saldırgan, kurban oturum açmadan önce tarayıcısına bilinen bir oturum kimliği yerleştirir, kurban kimliğini doğruladıktan sonra da onu kullanır.

Savunmalar arasında her şeyi HSTS ile birlikte HTTPS üzerinden sunmak, oturum çerezlerini Secure, HttpOnly ve SameSite olarak işaretlemek, uzun rastgele oturum kimlikleri üretmek ve her oturum açmada ve ayrıcalık değişikliğinde yeni bir oturum kimliği vermek bulunur. Oturumlar hareketsizlik sonrasında sona ermeli ve mutlak bir ömre sahip olmalı, kullanıcılar etkin oturumlarını görüp iptal edebilmeli ve e-posta adresini değiştirmek gibi hassas işlemler yeniden kimlik doğrulaması gerektirmelidir. Bu, bir festival girişinde aldığınız bilekliğin kopyalanmasına benzer: görevliler biletinize değil bilekliğe bakar, bu yüzden kopya onları içeri sizmiş gibi sokar.

Oturum ele geçirme sıklıkla CSRF ile karıştırılır. CSRF'te saldırgan oturum token'ını hiç görmez; kurbanın tarayıcısını, onu otomatik olarak taşıyan bir istek göndermeye kandırır. Oturum ele geçirmede ise saldırgan token'a gerçekten sahiptir ve oturum geçerli kaldığı sürece onu her yerden kullanabilir.