会话劫持

会话劫持以维持认证会话的令牌(通常是 Cookie 或 Bearer Token)为目标,在攻击者控制的客户端上重新使用。令牌可通过未加密链路嗅探、XSS 外传、客户端恶意软件、可预测的会话 ID、会话固定,或第三方的 Cookie/Token 失窃获得。一旦攻击者重放该会话,即可绕过身份认证,包括此前已通过的多因素认证。常见防御措施包括全站 HTTPS 配合 HSTS、安全 Cookie 标志(Secure、HttpOnly、SameSite)、严格的 CSP 抵御 XSS、短生命周期并定期轮换的令牌、设备绑定令牌(DPoP、Token Binding、Passkey)、基于风险的持续再认证,以及对 IP、设备指纹、ASN 等会话异常的检测。