세션 공격, 새로운 유형의 공격은 무엇입니까?

Question

http 세션 공격에 대한 정보를 최대한 수집 중입니다.

기존 공격에 대한 많은 정보가 있지만 인기있는 소프트웨어 또는 기술의 보안 결함이나 새로운 똑똑한 보안 엔지니어링으로 새로운 유형의 공격이 가능하게되었는지 알고 싶습니다.

새로운 기법이나 도구에 대한 권장 사항이 있습니까?

감사합니다.

Answer 1

최근에 HTTPS에 대한 공격이있었습니다. 이 공격을 수행하는 도구는 SSLStrip이며 Moxie Marlinspike의 blackhat 2009 토크에서 소개되었습니다. 나는 해당 페이지에서 비디오를 보는 것이 좋습니다.

지금까지 크롬이이 문제에 대한 부분적인 수정 사항이있는 유일한 브라우저입니다. patch is called STS이며 개발자가 사용하도록 설정해야합니다. Firefox는 STS를 지원하기 위해 노력하고 있습니다. 마이크로 소프트와 애플은 새로운 보안 대책을 채택하기가 느리다. 은 결국이이 기능을 지원해야하지만 내가 알기 엔 아무 것도 발표하지 않았다.

새로운 공격 패턴의 측면에서 보면 버퍼 오버 플로우가 진행 중이고 Dangling Pointers은 풀 스윙입니다. A Heap Overflow and a Dangling Pointer vulnerability where chained together Windows 7에서 IE 용 Pwn2own 2010을 획득하십시오. 클래식 스택 기반 버퍼 오버 플로우는 NX-bit, Canaries 및 ASLR이있는 최신 시스템에서 악용하기가 어렵습니다. 그러나 매달려있는 포인터를 사용하여 이러한 새로운 보안 조치를 무시할 수 있습니다.