22019, 1/1101 회원가입  로그인  
   나태한개미
   세션하이재킹의 방법 (걍 개념설명정도인데 맞는지 봐주세요)

http://www.hackerschool.org/HS_Boards/zboard.php?AllArticle=true&no=30190 [복사]


1. 클라이언트랑 서버랑 연결이 된 상태에서 해커는 이 연결을 SYN넘버를 추측하여 가로챈 후 ddos로 사용자컴퓨터를 마비시킨다음 가로챈 세션정보를 가지고 서버랑 사용자인척하는 해커랑 통신한다.

2. 현재 사용자 클라이언트가 어떤 웹 서버에 아이디와 비밀번호를 입력하고 세션을 유지하고 있다면 그 세션정보는 쿠키에 저장된다.
해커는 XSS 같은 기법으로 이 쿠키를 가로채고 Cooxie 툴로 적용시켜서 하이재킹을 이룬다.
이렇게 세션하이재킹에 성공하면 로그인과정을 거치지 않고 인증된 사용자로 해당서비스를 이용할 수 있다.


저 2개의 방법이 서로 조금 다른거 같아서요
둘다 세션하이재킹이라고 봐도되나요??
1번은 SYN넘버 추측으로 가로채고 2번은 XSS로 가로채는거 같아서요; 2번은 뭔가 웹서버에서만 적용되는 세션하이재킹인거같은..?

아무튼 둘다 세션하이재킹이라고 봐도 무방한가요?
  Hit : 7412     Date : 2013/02/04 07:38


    
letmeln 그 세션이 그 세션이 아닌것 같습니다.. 2013/02/04  
cd80 tcp 세션하이재킹도 있고 세션아이디 하이재킹도 있는걸로 알고있습니다
둘이 같은건 아니지만 둘다 세션 하이재킹이라고 봐도 무방할듯합니다
첫번째 방법은 tcp 세션을 가로채 스푸핑하는 방법이고
두번째 방법이 쿠키에 있는 세션아이디를 가로채는 방법입니다

정말 옛날에 얼핏들은거라 내용이 틀릴 수도 있습니다		 2013/02/04  
보안왕 첫 번째는 tcp/ip의 통신에서 syn넘버를 가로채서 해커가 진짜 사용자인척하는 거구요.

두 번째는 웹페이지상에서 웹서버는 사용자를 구분하기 위해 쿠키/세션이라는 방법을 사용하여 사용자를 검증하는데, 쿠키를 가로채서 다른 사용자인척 하는 방법입니다.

쉽게 말씀드리면 두 방법은 각각 다른 개념입니다.
1번은 네트워크 해킹
2번은 웹 해킹입니다.		 2013/02/04