Какой вред, если JSESSIONID выставлен в HTTP?

Просто любопытно, можно ли запустить олицетворенную атаку с помощью JSESSIONID, если cookie-файлы JSESSIONID открыты в канале связи HTTP, несмотря на то, что Auth Cookie уже включен?

Разве интернет-логика позволяет это?

Спасибо!

Источник

1 ответ

При использовании Auth Cookie сервер WebLogic отправляет в браузер новый безопасный файл cookie _WL_AUTHCOOKIE_JSESSIONID при аутентификации через HTTPS- соединение.

Если у вас есть только HTTP, у вас будет только JSESSIONID, который не является безопасным cookie

Стоит проверить, может ли кто-нибудь, кто просто знает мой текущий JSESSIONID, выдать себя за / с помощью моей сессии (Tomcat 7/Glassfish 3.2))?

Так что ответ - да.

Источник
Другие вопросы по тегам