불충분한 세션 관리 공격 / 대응

1. 작업 환경 

    - VMware Workstation 17 Player

    - Cent OS 7

    - kali_linux

    - 모의해킹용 쇼핑몰 서버 

    - Burp Suite 

 

2. 불충분한 세션 관리 공격 / 대응 

    - 공격

       로그아웃 후 재로그인 해도 세션이 고정됨
       오랜시간이 경과해도 세션이 만료되지 않음
       세션 하이재킹에 취약한 상태

    - 대응 

        세션 만료시간 설정(10초)
        vi /etc/php.ini
          session.gc_probability= 1
          session.gc_divisor= 1
          session.gc_maxlifetime= 10으로 수정 후 저장
       systemctl restart httpd