Session Fixation ist ein Angriff, bei dem das Opfer eine vom Angreifer gewählte Sitzungskennung benutzt. Meldet es sich damit an, kennt der Angreifer die Kennung der angemeldeten Sitzung.
- Session Fixation
Ein Angriff, bei dem das Opfer eine vom Angreifer gewählte Sitzungskennung benutzt.
Beispiel: „Die Session Fixation lief über einen Link, der die Sitzungskennung gleich mitbrachte.“Auch: Sitzungsfixierung. Der Angriff setzt voraus, dass die Anwendung eine vorgegebene Kennung übernimmt, statt eine eigene zu vergeben.
Abgrenzung zum Session Hijacking: Dort wird eine fremde Kennung gestohlen, hier eine eigene untergeschoben.
Wie eine Session Fixation abläuft
In drei Schritten. Der Angreifer holt sich bei der Anwendung eine Sitzungskennung und bringt das Opfer dazu, sie zu übernehmen: über einen Link, der sie in der Adresse trägt, oder über ein gesetztes Cookie. Dann wartet er, bis das Opfer sich anmeldet. Behält die Anwendung die Kennung über die Anmeldung hinweg bei, ist seine Sitzung jetzt die angemeldete.
Warum eine Zeile Code genügt
Weil die Anwendung nach jeder erfolgreichen Anmeldung eine neue Sitzungskennung vergeben muss. Jedes verbreitete Rahmenwerk hat dafür einen Aufruf, und in modernen Fassungen ist er voreingestellt; der Angriff zielt auf Anwendungen, die ihn nicht benutzen oder ihre Sitzungen selbst verwalten. Dieselbe Erneuerung gehört übrigens auch nach einem Rechtewechsel, etwa beim Umschalten in einen Verwaltungsbereich.
Woran man die Anfälligkeit erkennt
Am Vergleich vor und nach der Anmeldung. Wer die Sitzungskennung im Browser notiert, sich anmeldet und danach dieselbe Kennung vorfindet, hat die Antwort. Ein zweiter Hinweis sind Sitzungskennungen in der Adresszeile: Sie stehen in Protokollen, in der Verlaufsliste und im Verweis auf die nächste Seite und gehören dort nirgends hin.