什么是会话劫持？

企业依赖于与网站和企业网络之间的安全连接，但这些连接容易受到劫持攻击的威胁。本文探讨了会话劫持的工作原理、常见的劫持方式，以及企业如何保护自己的资产免受恶意攻击的侵害。

会话劫持的定义

会话劫持是一种网络攻击手段，它通过利用被攻破的令牌或Cookie来控制网页会话过程。这样一来，恶意攻击者就可以未经授权地访问敏感信息。

会话劫持者能够监控用户的浏览历史、搜索记录、财务信息以及登录凭据。他们对任何组织来说都是严重的网络安全威胁。

会话劫持是如何进行的？

会话劫持利用了我们对使用会话来建立网络连接的依赖这一特性。

当用户访问网站时，他们就会创建网络会话。网站会发出一个会话令牌或cookie，这相当于一种虚拟的“握手”过程，用于确认连接的合法性。这些会话令牌具有特定的有效期，它们负责在用户与网站之间授权数据的传输。

该系统允许网站访问者在同一网站上浏览不同的页面时，无需在切换页面时进行身份验证。如果没有会话机制的话，那么浏览网页就会变得非常麻烦，因为需要不断输入密码。

不过，便利的背后也伴随着一定的风险。攻击者可以截获这些会话数据，从而获取我们在公共互联网上发送的所有数据信息，这些信息可能会被恶意第三方获取。

会话劫持攻击的各个阶段

会话劫持攻击通常分为三个阶段：窃取用户身份、掌控系统，以及利用所获得的权力进行进一步的攻击。

窃取会话ID

会话劫持的行为始于……窃取存储在令牌或会话Cookie中的会话ID。会话ID能够识别用户及其当前所处的会话状态，因此，可以冒充目标用户来浏览网站。

攻击者使用各种手段来窃取会话认证信息。最简单的方法就是……暴力胁迫在暴力破解攻击中，犯罪分子会不断尝试猜测与同一网站相关的会话ID。如果网站所有者使用的是通用的ID格式，那么攻击者就有可能成功破解该网站。

如果暴力破解失败的话，会话劫持者可能会尝试窃听用户的会话信息，植入特洛伊木马以窃取数据，或者发起脚本攻击。最终的结果都是一样的：犯罪分子能够在用户毫无察觉的情况下控制用户的会话过程。

接手该会议/任务

下一步就是控制用户的会话。拥有该会话ID的攻击者可以将该ID发送给Web服务器。服务器会认为攻击者是真正的用户，从而允许其连接。这样，攻击者就可以访问网站或平台，并假装成受害者来实施各种操作。

犯罪活动

在控制了某个网络会话之后，犯罪分子可以通过多种方式对目标造成危害。他们可以利用用户的权限来访问企业数据库，从而获取客户数据。此外，他们还可以窃取机密知识产权，进行财务转移，或者恶意干扰网络活动。

为什么要实施会话劫持攻击呢？

会话劫持行为很吸引网络犯罪分子，因为其带来的好处实在巨大。当攻击者获得会话令牌或Cookie后，他们就可以接管正在进行的会话过程——收集数据，甚至可以以用户的名义发出命令。

会话劫持也相对简单。犯罪分子不需要获取密码或其他认证信息。会话劫持攻击能够快速获取对各种平台和网站的访问权限，而且在许多情况下，这种攻击的被检测到的风险也相对较低。

劫持正在进行的网络会话的另一个好处是，它使得攻击者能够……绕过多因素认证和单点登录平台.

会话劫持的类型

在采取有效的对策之前，安全团队必须了解会话劫持是如何发生的。

常见的会话劫持攻击方式包括：

• 跨站脚本攻击（XSS）。这些会话劫持攻击会将恶意代码植入到被攻破的在线表单中。在某些情况下，攻击者还可以重新设计网站结构，以获取访问者的会话密钥。
• 会话嗅探这种攻击方式也被称为“会话级劫持”。它通常伴随着中间人攻击，因为攻击者需要能够访问目标网络的通信内容。一旦攻击者获得了访问权限，他们就可以“嗅探”数据包，从而获取会话ID，进而劫持网络连接。
• 会话固定现象。在固定攻击中，网络犯罪分子会试图诱使目标用户通过被篡改的会话Cookie来启动新的会话。攻击者通常会通过包含指向恶意网站的链接的钓鱼邮件来发起这种攻击。当用户登录到这些虚假网站时，攻击者就可以控制用户的浏览器会话。
• 浏览器中的人类攻击（MITB）MITB攻击与中间人攻击类似，但MITB攻击仅限于网络浏览器的用户。攻击者会向目标设备植入特洛伊木马病毒，该病毒会扩散到用户的浏览器中。这种病毒可以指令网站执行某些操作，比如进行财务转账等。由于这些指令来自用户设备，因此网站通常会批准这些请求。这样一来，犯罪分子就能从中获利了。
• 猜测可预测的会话ID这种会话劫持方法利用了Web服务器所使用的算法来生成会话ID。许多服务器在分配会话ID时都会产生某种规律或模式。犯罪分子可以掌握这些规律，从而猜测出会话ID。这其实是一种更为快速的会话劫持攻击方式。
• HTTP拦截有些网站并未采用TLS加密技术进行保护。这样一来，所有访问该网站的用户都面临着会话劫持的风险。那些窥探者可以拦截网络流量，并直接控制整个会话过程，而无需解密会话ID信息。

会话劫持案例研究

上述这些分类只是大致的指南而已。在现实世界中，会话劫持的形式多种多样，通常包含不同的策略。让我们来看看一些真实的网络威胁案例，了解犯罪分子是如何运用会话劫持技术的。

Zoom

在2020年和2021年，会话劫持行为一度成为新闻焦点。这些攻击者通过破坏Zoom会议的方式来实施他们的犯罪行为。虽然视频通信平台在疫情期间得到了迅速的发展，但相关的安全措施却未能随之改进。

“Zoom Bombers”找到了各种方法来强行获取会议ID。在某些情况下，他们甚至控制了群聊的对话内容，使得沟通变得不可能。

CVS医疗数据

在2021年，医疗保健零售巨头CVS遭遇了会话劫持攻击，导致超过10亿份患者信息被泄露。最终，调查人员发现，数据库的配置错误使得攻击者能够未经授权地访问这些信息。攻击者获得了云用户日志、处方元数据以及私人医疗信息。

CircleCI

DevOps平台CircleCI在2023年宣布了一起会话劫持事件。在这次事件中，攻击者利用了被盗取的GitHub OAuth会话中的Cookie，来植入恶意软件。

攻击者无需突破CircleCI的两步认证机制。他们利用了GitHub令牌中的漏洞，从而获得了更高的权限，进而能够未经授权地访问管理员级别的账户。最终，攻击者获得了所有企业DevOps账户的访问权限，包括那些具有重要价值的IP资源和正在进行的项目。

如何检测会话劫持行为

那些经常遭受会话劫持攻击的公司，最终会因数据泄露、恶意软件感染以及拒绝服务攻击而面临严重后果。有效的检测措施是所有安全设置中不可或缺的一部分。

安保团队应该专注于……检测会话中的异常情况例如，会话的持续时间可能会比正常情况下更加不稳定。在办公时间之外或员工不活跃的时候，会话仍然会持续进行。

请查阅用户日志以了解更多信息。为合法用户定义基准行为模式在评估资源使用、连接时长以及网络活动的情况时，可以将这些基准数据作为参考点。

来自不同时间段的多个会话/记录IP地址同时，这也可能表明存在劫持攻击。在会话进行过程中，IP地址可能会突然发生变化，而用户并未使用VPN或采取其他方式来改变自己的网络状态。

会话指纹识别此外，这种技术还有助于识别潜在的恶意行为。指纹识别工具可以在会话开始和结束时检测设备的相关信息、操作系统以及浏览器信息。如果出现不匹配的情况，往往意味着存在恶意活动。

此外，也建议……使用/运用 威胁检测工具 实现对基本劫持警报的自动化处理例如，当用户因多次失败而能够访问某些资源时，相关工具应该向安全团队发出警报。此外，如果某个会话的ID被重复使用，或者出现突然的流量激增情况，同样需要触发警报以便进行调查。

以上建议共同有助于识别会话令牌的滥用行为。要确保这些建议能够发挥作用，就需要制定积极的安全政策，持续对警报进行排查，并审计用户的操作行为。任何异常的行为都应引起注意，因为这些行为可能是会话令牌被泄露的证据。

如何防止会话劫持攻击

检测只是解决问题的一半而已。组织还应该在事件发生之前采取措施来防止会话被劫持。虽然完全预防是不可能的（对检测的投入至关重要），但以下这些步骤仍然可以降低会话被劫持所带来的风险：

• 需要使用VPN才能使用虚拟私人网络能够加密网络流量，从而隐藏用户的浏览活动，使其无法被外部人员发现。而会话劫持者则依赖于对用户行为的监控来获取会话令牌数据。使用虚拟私人网络后，目标对象就变得不那么容易被发现，甚至有时根本无法被检测到。
• 请不要使用那些不安全的公共Wi-Fi。犯罪分子会利用那些没有加密措施或缺乏有效认证机制的无线局域网进行犯罪活动。员工应避免使用公共Wi-Fi来传输与工作相关的数据。如果必须使用公共Wi-Fi进行工作，那么应该强制要求使用VPN技术。
• 要教育员工避免这样做。 钓鱼邮件请记住，许多会话固定攻击都是通过点击恶意链接而开始的。因此，需要培训员工识别可疑的电子邮件和网站，并且每年更新员工的相关知识，以保持他们对这些问题的警惕性。
• 可以使用“允许列表”来控制网络使用行为。许多防火墙都包含允许列表功能。这些工具会保存被批准可以访问的网站列表。这些网站通常都是企业运营中不可或缺的。这些工具有助于防止员工进行危险的浏览行为，从而减少黑客利用这些网站进行攻击的机会。
• 务必避免访问未加密的网站。员工永远不应该访问那些在“HTTP”后面没有“S”符号的网站，因为这些网站是不安全的。应使用可靠的威胁检测软件来识别恶意网站。这些软件会利用威胁情报来检测潜在的恶意网站。
• 加强您的恶意软件防护措施。某些会话劫持攻击是以特洛伊木马式恶意软件为开端。请确保您拥有最先进的恶意软件检测工具。
• 采用安全的编码实践请检查网页表单和网站代码，以排除那些存在漏洞或安全隐患的部分。此外，确保所有网络应用程序和服务都配备了会话管理功能。

最重要的是，企业在应对会话劫持者时，必须保持警惕并采取积极措施。一些组织可能会变得麻痹大意，认为现有的网络安全措施已经足够有效了。

请记住这一点。会话劫持行为可以绕过两种或多种身份验证方式。此外，还有诸如Azure这样的访问管理系统。用户可能并不知道自己成为了攻击的受害者，而要发现这种情况，就需要对威胁进行仔细的监控。