Session Brute Forcing

Lexikon webových zranitelností

zpět
Název: Session Brute Forcing
Zařazení: Session management
Závažnost: Nízká - Vysoká

Popis:

Identifikátor relace musí být dostatečně dlouhý a vytvořen z co možná největší množiny znaků. Sprvávně implemntované identifikátory jsou tvořeny ze znaků malé abecedy, velké abecedy a čísel, přičemž jejich délka je minimálně 16 znaků.

Pokud by byl identifikátor relace příliš krátký a byl by tvořen například jen ze znaků šestnáctkové soustavy, nebo jen z čísel, mohl by útočník hrubou silou (zkoušením všech možných variant identifikačního řetězce) snadno odhalit aktivní relace přihlášených uživatelů a jejich sezení by jim mohl unést.