1. 什么是会话劫持攻击？
会话劫持攻击又被称为“会话固定攻击”。攻击者通过特定的方法获取到用户的会话凭证，并利用这个会话凭证来进行非法操作。
会话劫持攻击通常利用cookie劫持或跨站点请求伪造（CSRF）的方法实现。攻击者可以截取用户的cookie，篡改其中的信息，再恶意利用这个cookie来登录用户的账号。而CSRF攻击则通过用户的身份和权限来进行各种恶意行为。
2. Java中会话劫持的危害
Java应用程序中，用户登录一般采用Session机制来保持用户的登录状态，这也就使得会话劫持攻击成为了Java中一种很常见的攻击类型。
会话劫持能够使得攻击者获取到用户的登录凭证，当攻击者拥有了这个凭证后，就可以使用用户账号进行各种恶意行为，例如：上传恶意文件、篡改用户的信息、偷取用户的敏感数据等。
3. 防范Java中的会话劫持攻击
3.1 使用HTTPS加密通信
HTTPS被认为是加密传输中最安全的协议，可以有效地保障客户端和服务器之间的通信安全。为了保证应用程序在传输过程中不被攻击者篡改，我们可以在应用程序中使用HTTPS协议来进行通信。HTTPS主要是通过加密方式来保护用户隐私信息，对于防范会话劫持攻击也有很大的保障作用。
public class HttpUtil {
private static final String HTTPS = "https";
private static SSLConnectionSocketFactory sslsf = initSSL();
private static SSLConnectionSocketFactory initSSL() {
try {
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, new TrustManager[]{new X509TrustManager() {
@Override
public void checkClientTrusted(X509Certificate[] x509Certificates, String s)
throws CertificateException {
}
@Override
public void checkServerTrusted(X509Certificate[] x509Certificates, String s)
throws CertificateException {
}
@Override
public X509Certificate[] getAcceptedIssuers() {
return new X509Certificate[]{};
}
}}, new SecureRandom());
return new SSLConnectionSocketFactory(sslContext, NoopHostnameVerifier.INSTANCE);
} catch (Exception e) {
e.printStackTrace();
}
return SSLConnectionSocketFactory.getSocketFactory();
}
public static String doPostSSL(String url, Map param) throws Exception {
if (!url.startsWith(HTTPS)) {
throw new Exception("请使用https连接");
}
CloseableHttpClient httpClient = HttpClients.custom().setSSLSocketFactory(sslsf).build();
HttpPost httpPost = new HttpPost(url);
httpPost.setConfig(RequestConfig.custom().setConnectTimeout(20000).setSocketTimeout(20000).build()); // 设置超时时间
List pairs = Lists.newArrayList();
param.forEach((k, v) -> pairs.add(new BasicNameValuePair(k, v)));
httpPost.setEntity(new UrlEncodedFormEntity(pairs, "UTF-8"));
CloseableHttpResponse response = httpClient.execute(httpPost);
HttpEntity entity = response.getEntity();
String result = EntityUtils.toString(entity);
EntityUtils.consume(entity);
response.close();
httpClient.close();
return result;
}
}
上述代码中是通过HttpClient这个第三方库来实现https协议的。在设置SSL连接时，我们需要配置TrustManager和HostnameVerifier，分别用来验证证书和主机名。如果您采用的是Tomcat做服务器，可以通过配置 SSL 协议，通过启用 SSLv3、TLSv1.1 和 TLSv1.2 之后的分级连接，来保障HTTP连接的安全性。
3.2 避免使用容易被破解的Session ID
Session ID是维护用户登录状态的关键信息，攻击者若能破解了它，就可以通过这个ID来进行登录，接下来就可以进行会话劫持攻击了。
防范Session ID被破解的方法有：1. 设计一个不容易被破解的Session ID生成算法；2. 有效地保护Session ID，例如：使用HTTPS、在所有cookie中加上Httponly标志、定期更新Session ID等。
import java.util.Random;
public class InitSessionId {
/**
*生成sessionId
* @return
*/
public static String generateSessionId() {
Random random = new SecureRandom();
byte bytes[] = new byte[32];
random.nextBytes(bytes);
String sessionid = bytes.toString();
return sessionid;
}
}
上述代码展示了一个简单的Session ID生成算法。为了避免Session ID被猜到，这里采用了一定程度上的随机性。除此之外，为了保护Session ID不被轻易盗取，开发者也可以在生成Session ID时，在后面加上一个由时间和随机数组成的字符串来增加Session的复杂度。
3.3 在会话中引入安全验证机制
为了更加有效地防范会话劫持攻击，我们可以在必要时可以引入一些安全验证机制，例如：
单点登录机制：允许用户同时没有多个有效的登录状态；
IP限制机制：限制某些IP地址或区间的用户访问；
访问风险控制：限制用户在同一时间内访问的资源数量，避免被攻击者利用恶意脚本提交过多的请求；
防暴力破解机制：例如，当用户连续登录n次失败时，强制用户退出登录等。
3.4 使用Servlet Filter
Servlet Filter 是一种用来拦截HTTP请求和响应的机制。在Java Web应用程序中，可以通过编写 Servlet Filter 来拦截所有的请求。在实际应用中，我们可以在此机制下进行相关的安全防范。
例如，在拦截 Servlet Filter的函数中，我们可以检查用户的请求头，判断用户是否携带了正确的 Session ID。如果未携带正确的 Session ID，则给出相应的提示。
public class SessionFilter implements Filter {
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest httpRequest = (HttpServletRequest) request;
HttpSession session = httpRequest.getSession();
if (session == null || session.getAttribute("sessionId") == null) {
HttpServletResponse httpResponse = (HttpServletResponse) response;
httpResponse.sendRedirect("/login.jsp");
} else {
chain.doFilter(request, response);
}
}
@Override
public void destroy() {
}
}
上述代码展示了如何在请求未携带Session ID 的情况下，重定向到 login.jsp 页面。
4. 总结
会话劫持攻击是一种很常见的网络攻击手段。在Java应用程序中，由于会话机制的存在，攻击者更容易利用这种攻击手段来进行多种恶意操作。我们可以使用一些技术手段来防范这种攻击，例如：使用HTTPS、避免使用容易被破解的Session ID、在会话中引入安全验证机制、使用Servlet Filter等。