小议session欺骗的利用以及价值

对于session欺骗 大家都蒙了。
百度上有一篇文章 骗了整个网络界 虽然有不少人已经发现是错误的理论 误导的文章 。使不少人觉得 session欺骗很牛x 其实不然
那篇文章叫eWebEditor session欺骗漏洞
没错 ew的确存在那漏洞 但是那个作者说错了 原文：
eWebEditor session欺骗漏洞
文章作者：nowthk
eWebEditor在线编辑器
漏洞文件:Admin_Private.asp
漏洞语句:%
If Session(eWebEditor_User) = Then
Response.Redirect admin_login.asp
Response.End
End If
只判断了session，没有判断cookies和路径的验证问题。
漏洞利用:
新建一个test.asp内容如下:
%Session(eWebEditor_User) = 11111111%
访问test.asp，再访问后台任何文件，for example:Admin_Default.asp
漏洞影响:虚拟主机的克星. by nowthk

noethk大牛想法不错 但是很可惜 背离了session的运行机制。要知道 session是存放在服务端的 而放在客户端的只是一个服务端分发的sessionID 。原文作者是在本地架设的环境 所以根本不存在客户端服务端之说.如果文章没有加上 虚拟主机的克星这几个字 估计就不会有什么争议。 的确 session是可以被欺骗。这个话题我丢到后面再说。先说机制。

虽然sessionID的唯一性大大地提高了session认证的总体安全 但是这世界上还有一样东西叫盗窃.
我们来说说session的运行机制 . 例如你访问www.link0day.cn 这个站 那么服务端就会分给你一个sessionID值（前提是他们开启session） 什么时候你不爽 你关了浏览器 那么sessionID就失效了吗？
个人通过收集资料觉得 session在服务端是有存活期的。 你关了浏览器的话 那么就只是注销了该站的sessionID值 但服务端还残留着 iis默认是保存20分钟 这样就给了我们可乘之机。
继续说到session运行机制 有一个很重要的知识点就是 服务端与客户端交接 是通过cookies存放在某一文件夹里面的 也就是说 xss也可以盗取session。
先别慌，看这一捉包来的数据：ASPSESSIONIDGQGGQAFC=FPGBGNOCAGPLAPOFOPJGODCJ
看到没 asp sessionid*********** 等号后面就是他的sessionID值。 为了方便大家理解和验证方法的可行。我与老大 樱木花盗 做了一实验(部分修改)。
老大登陆一后台（当然是session有验证）。然后捉包 发他的sessionID给我 然后他关了浏览器。也就是结束了客户端与服务端的连接 但那sessionID没过期。 我这边用啊D修改session 然后直接点击登陆 。 结果可想而知 成功登陆。
这是说明 客户端与客户端之间对服务端的欺骗 文绉绉地说 也就是中间人攻击，
这里 可能你会问 入侵的时候 别人会那么傻给你sessionID么。嘿嘿 问得好 。这里就出现了xss。
要知道 我们可爱的xss可以盗取cookies。。 我们直接把他的cookies相关直接盗过来。