Week Session IDs

주의사항 : 이 포스팅은 개인 학습 및 교육적 목적으로 작성되었으며, 제공하는 정보를 악용하여 불법적인 행위를 하는 것은 엄격히 금지되어 있습니다. 타인의 시스템에 대한 접근 권한을 얻기 위해 명시적인 동의를 받아야 하며, 이러한 기술을 사용하여 발생하는 모든 결과에 대한 책임은 사용자에게 있습니다.

0. 초기 화면

1. 서비스 실행

• 웹으로 POST를 보내면 Set-Cookie: dvwaSession 값이 1씩 증가하는 패턴으로 나타난다.
• 세션 ID가 예측 가능하게 노출되어 있을 경우, 개발자도구나 웹 프록시 등으로 값이 조작되어 다른 세션이 탈취될 수 있다.

2. php 코드

• 세션 ID가 요청이 들어올 때 마다 +1만 해주며, 시간에 따른 만료 또한 설정되어 있지 않다.
• 세션 ID는 충분히 길며 높은 무작위성을 가져야 하며, 사용자가 로그아웃하거나 일정 시간이 지나면 만료되어야 한다.

출처