웹 해킹 예제: 세션 고정 공격

로그인 화면

로그인시도 Request

로그인 완료

혹시나 하는 위험을 감수하기 위해서 가려놓았지만, 위 웹싸이트는 로그인 전에 세션을 미리 발급하고, 로그인시도 Request에서 ID와 비밀번호를 받아서 검증하는것을 확인할수 있습니다.

즉, 세션ID발급(인증안됨) → 로그인 인증 → 세션ID(인증완료) 그대로 사용 하는 웹싸이트이므로, 로그인 우회가 가능합니다.

가짜 로그인 시도

Burp suite의 리피터를 사용해 ID만 admin으로 바꾸어서 요청을 보냅니다. 당연히 답은 fail로 오지만 이미 인증과정에서 서버상의 사용자 ID는 변경되었고, 세션ID는 이미 인증상태이기 떄문에, 위쪽의 로그인 완료상태의 요청을 다시보내면 로그인 상태로 나오며 ID는 변경됩니다.