通过session_id，我可以绕过远程服务器上的登录表单吗？

第三方zend加密系统具有Web API，让您通过它登录并获取session_id（用于以后的调用？）。然后有一个任务，如何绕过具有session_id的登录表单。通过session_id，我可以绕过远程服务器上的登录表单吗？

这是可能的吗？

2010-04-01 jayarjo

您可以通过在您的地址栏中输入以下内容来更改浏览器注册到特定网站的Cookie：javascript：document.cookie ='session_id = 234y89575'' – rook 2010-04-01 22:22:37

谢谢。我现在要试试这个。 – jayarjo 2010-04-11 07:58:21

嗯...它只是回声给我，什么也没做..？这个地方有蚂蚁吗？ – jayarjo 2010-04-11 08:07:26

下面是我们到底做了（寻找一个公认的答案）：

2010-04-29 12:44:56 jayarjo

是的，它被称为session hijacking。

2010-04-01 21:05:00

是的，但会话劫持要求您拥有session_id。 – rook 2010-04-01 21:45:57

@The Rook：你看过标题吗？ *拥有session_id ... * – 2010-04-01 21:51:03

有会话标识符可以绕过登录。 HTTP是一种无状态协议，当服务器已经登录时，服务器使用会话标识符来验证用户设备的记录。因此，通过窃取另一个用户的会话标识符，可以诱使服务器认为你是该用户将该用户的会话标识符发送到服务器。

关于会话劫持和所有会话劫持攻击的完整说明可参见Here。

2011-11-03 04:39:25

回答