Blog
Como o token de sessão vaza, o que o atacante faz com ele e como fechar cada porta.
O atacante não precisa da sua senha para entrar na sua conta. Precisa do token de sessão, e esse token vaza mais facilmente do que parece.
Cross-site scripting, rede interceptada, dispositivo compartilhado e fixação de sessão. Cada um tem uma defesa própria, e nenhuma delas é cara.
Um token previsível ou que nunca muda é um token que se adivinha. Entenda o que significa aleatório de verdade e onde a rotação evita o dano.
Três atributos de uma linha de configuração resolvem a maior parte dos sequestros de sessão. Entenda o que cada um impede.
O atacante escolhe o identificador da sessão e espera que a vítima use o link dele. Como isso funciona e qual é a defesa que resolve.
Uma sequência de medidas, da configuração de cookie ao monitoramento de acessos, que fecha o sequestro de sessão na maior parte dos casos.
A pessoa raramente percebe o sequestro em curso. Existem sinais que indicam a invasão e um roteiro de resposta para o primeiro minuto.