基于Burpsuite的安全测试五：登录认证模块-Cookie仿冒测试

基于Burpsuite的安全测试五：Cookie仿冒测试

情景1：Session会话注销测试

1. 服务器为了鉴别用户身份，会将用户身份证信息存储在cookie中，并发送到客户端存储。通过修改cookie中的身份标识，可以仿冒其他用户身份并获取用户权限。
2. 使用用户A账号登录系统后刷新页面同时用Burp Suite截取请求数据，并将请求数据中cookie的userid修改为用户B账号进行提交，查看页面返回信息，如果已经是B账户的账户信息了，则证明存在风险，如果有合理提示不能查看B用户信息则证明暂无风险。

系统修复方案：

对客户端的用户敏感信息使用session会话认证方式，避免身份被仿冒。