信息安全开发注意事项（四）
会话管理设计漏洞
隐患：由于应用程序设计不当，攻击者窃取到密码、密钥、session tokens等信息
风险：攻击者可以利用会话管理漏洞窃取到密码、会话令牌等信息，进而冒充合法用户身份，获取敏感信息或者进行恶意操作。
http://example/<script> document.cookie=”sessionid=1234;%20domian=.example.dom”;</script>
http://example/<meta%20htp-equiv=Set-Cookie%20content=”sessionid=1234;%20domian=.example.dom”>
措施1 用户成功认证登录后，始终生成新的会话
request.getSession().invalidate(); //清空session
Cookie cookie = request.getCookies()[0];//获取cookie
cookie.setMaxAge(0);//让cookie过期
措施2 对于Cookie重要信息加密
Cookie cookie = new Cookie(“emailCookie”,email);
cookie.setSecure(true);
response.addCookie(cookie);
不安全的直接对象引用漏洞
隐患：应用程序没有检查用户是否具备访问系统的资源，就直接进行调用
风险：攻击者利用该漏洞可以访问未经授权的其他用户的资料，系统文件等信息。
恶意代码示例：
一网站的新闻检索功能可搜索指定日期的新闻，但其返回的URL包含了指定日期新闻页面的文件名
http://example.com/online/getnews.asp?item=20March2003.html
攻击者可以尝试不同的目录层次来获得系统文件win.ini：
http://example.com/online/getnews.asp?item=.../.../winnt/win.ini
措施1 使用间接对象引用。避免在URL或网页中直接引用内部文件名或数据库关键字，应使用自定义的映射名称来取代直接对象名，防止将重要内容的关键字和文件名泄露给用户。
http://example.com/down.jsp?filed=234
int filed =Integer.parseInt(request.getParameter(“filed”));
String filename = null;
if(filed ==234){
filename = “example.txt”;
}
措施2 检查用户访问权限。来自不受信源所使用的所有直接对象引用都必须包含访问控制检测，才能确保用户对要求的对象有访问权限。
int cartID = Integer.parseInt(request.getParameter(“cartID”));
User user = (User)request.getSession().getAttribute(“user”);
String query = “ select * from table WHERE cartID =’”+ cartID +”’AND userID=’”+user.getID() + “’”;
安全配置漏洞
由于操作系统、应用服务器、数据库服务器、应用程序、中间件以及相关相关应用程序所使用的框架的不安全配置，造成恶意用户可以利用系统默认账户、默认配置页面（如已发现的操作系统、Web服务器、数据库服务器、中间件漏洞的默认配置页面），对应用系统进行攻击。
风险：
攻击者利用该漏洞可以获取系统敏感信息，如程序路径、配置信息等，或者通过默认账户登录系统，获取系统机密信息，甚至操作整个服务器。
措施1
自定义出错页面，统一错误页面提示。
措施2
避免使用默认路径;修改默认账户和密码；禁用预设账户。
措施3
定期进行安全加固，及时安装补丁。