Web12: Kỹ thuật hack Session Fixation

Điểm cốt lõi cần nắm về Web12: Kỹ thuật hack Session Fixation

Mallory tìm một website, chẳng hạn http://unsafe.example.com, chấp nhận bất cứ session ID nào từ request mà không cần xác thực.

Để tiết kiệm thời gian và tránh thao tác sai lệch, bạn hãy làm theo trình tự từng bước đã được chuẩn hóa dưới đây.

---

Hướng dẫn thực hiện chi tiết từng bước

Bước 1: Giới thiệu

• Mallory tìm một website, chẳng hạn http://unsafe.example.com, chấp nhận bất cứ session ID nào từ request mà không cần xác thực.
• Chi tiết thực hiện: Mallory sẽ gửi đến Alice một e-mail, trong đó có chứa đường link http://unsafe.example.com/?SID=1234.
• Chi tiết thực hiện: Alice đi đến http://unsafe.example.com/?SID=1234. Sau đó đăng nhập vào website.
• Chi tiết thực hiện: Mallory chỉ cần đi đến http://unsafe.example.com/?SID=1234, và sử dụng website với tài khoản của Alice.

Bước 2: Các ví dụ

• Alice đi đến http://unsafe.example.com/?SID=1234. Sau đó đăng nhập vào website.
• Mẹo thao tác nhanh: Quan sát kỹ biểu tượng trạng thái ở góc cửa sổ trước khi chuyển sang bước kế tiếp.

Bước 3: Ví dụ 1 – Client-side scripting

• Tương tự như kịch bản đã nêu ở phần trên, tuy nhiên, trong trường hợp này, Session ID không được truyền vào URL mà nằm trong cookie. Để sửa giá trị của Session ID trong cookie của nạn nhân, hacker sẽ chèn một đoạn Javascript:
• Mẹo thao tác nhanh: Quan sát kỹ biểu tượng trạng thái ở góc cửa sổ trước khi chuyển sang bước kế tiếp.

Bước 4: Ví dụ 2 - tag

• Tương tự như client-side scripting, nhưng lần này hacker sẽ chèn thêm thẻ:
• Mẹo thao tác nhanh: Quan sát kỹ biểu tượng trạng thái ở góc cửa sổ trước khi chuyển sang bước kế tiếp.

Bước 5: Ví dụ 3 – HTTP header response

• Việc chèn Session ID cũng có thể được thực hiện bằng cách chặn các gói tin trao đổi giữa client và Web application, sau đó chèn thêm trường Set-Cookie vào header.
• Mẹo thao tác nhanh: Quan sát kỹ biểu tượng trạng thái ở góc cửa sổ trước khi chuyển sang bước kế tiếp.

---

Lưu ý thực tế dành cho người dùng tại Việt Nam

• Xung đột bộ gõ tiếng Việt: Khi nhập lệnh, đường dẫn thư mục hoặc công thức hàm, hãy chuyển bộ gõ Unikey / EVKey sang chế độ tiếng Anh (E) để tránh lỗi nhảy dấu hoặc mất ký tự.
• Kiểm tra phân quyền: Nếu hệ thống yêu cầu xác nhận quyền quản trị (Run as Administrator) hoặc mã PIN thiết bị, hãy cấp quyền để thay đổi được lưu vĩnh viễn.

---

📊 Bảng thông số DNS tốc độ cao & Địa chỉ quản trị Modem tại Việt Nam

Hạng mục cấu hình	Thông số chuẩn khuyến nghị	Tác dụng thực tế
Cloudflare DNS (Nhanh nhất)	1.1.1.1 / 1.0.0.1 (IPv4)	Tăng tốc độ phản hồi tên miền, giảm lag khi đứt cáp quang biển
Google Public DNS	8.8.8.8 / 8.8.4.4 (IPv4)	Độ ổn định cao, khắc phục lỗi không tải được trang web quốc tế
IP Modem Viettel / VNPT / FPT	192.168.1.1 hoặc 192.168.100.1	Đăng nhập đổi mật khẩu Wi-Fi (Xem mật khẩu Admin ở mặt đáy Modem)
Kênh sóng Wi-Fi tối ưu	Băng tần 5GHz (Khoảng cách gần) / 2.4GHz (Xuyên tường)	Giảm nhiễu sóng tại chung cư, văn phòng nhiều thiết bị

---

[!TIP] Mẹo thực chiến nhanh: Khi thao tác với web12: kỹ thuật hack session fixation, nếu cần nhập công thức hoặc phím tắt trên máy tính, hãy kiểm tra nhanh chế độ gõ Unikey / EVKey ở góc phải thanh Taskbar để tránh lỗi gõ nhầm ký tự.

---

🔗 Tiện ích & Công cụ thực chiến liên quan

• Tính lương & thuế TNCN tự động: Bảng tính lương Gross Net chuẩn cập nhật mới nhất.
• Kho tài nguyên đồ họa & font chữ Việt hóa: Tải mẫu PSD chuẩn chất lượng cao.
• Tạo mã QR WiFi & VietQR không giới hạn: Tạo mã QR miễn phí không hết hạn.
• Xem lịch âm dương & ngày hoàng đạo: Tra cứu lịch vạn niên & ngày hoàng đạo.