HTTPS是在开放networking中防止会话劫持的唯一防御措施吗？
因此，借助Firesheep ，公共Wi-Fi中的每个人都拥有一键式会话劫持工具。
根据我的理解，它的工作方式是简单地捕获所有stream量并抓取会话cookie（因此不会窃取密码）。
根据我的理解，这也意味着HTTPS安全login不能单独解决这个问题，因为进一步的HTTP通信会再次以明文forms包含会话Cookie。
将会话绑定到一个特定的IP地址是没有用的，因为NAT，绑定到用户代理很容易被欺骗。
那么100％HTTPS在任何时候都是防止这种会话劫持的唯一方法吗？ 难道人们只是嗅探包括握手在内的整个HTTPSstream量，还是这个东西安全？ （我正在考虑重播攻击，但在这方面没有任何知识。）
当然，不使用公共/开放的Wi-Finetworking是更好的select，但是我仍然对网站开发者可以保护他/她的用户感兴趣。
Firesheep 并不是什么新鲜事 。 只要Web应用程序使用会话ID，会话劫持就已经存在了。 通常，黑客只需在地址栏中input以下内容即可设置自己的cookie： javascript:document.cookie='SOME_COOKIE' 。 这个工具是脚本小子害怕1行的JavaScript。
如果您在会话的整个生命周期中不使用HTTPS，则Cookie可能被劫持，这是OWASP A9 – 传输层保护不足的一部分。 但是你也可以用XSS劫持会话。
1）使用httponlycookies 。
2）使用“ 安全cookie ”（可怕的名字，但它是一个标志，迫使浏览器只有cookie的HTTPS。）
3）扫描您的Web应用程序的XSS。
也不要忘了CSRF ！ （哪个Firesheep没有解决。）
这个Rook已经回答了一些问题，我会回答你的问题的其他部分。
是100％HTTPS在任何时候防止这种types的会话劫持的唯一方法？
那就对了。 100％的HTTPS是唯一的方法。 而100％是关键。
难道人们只是嗅探包括握手在内的整个HTTPSstream量，还是这个东西安全？ （我正在考虑重播攻击，但在这方面没有任何知识）
HTTPS具有防止重放攻击的内置保护。 如果正确实施，HTTPS是真正安全的。
即使HTTPS正确实施，也有办法绕过它。 SSL Strip就是这样一个工具。 该工具不利用SSL，它只是利用了人们总是在url中inputmybank.com而不是https://mybank.com 。
我相信SSL是便宜和完整的解决scheme。 但是，直到你没有它或寻找一些额外的层这里是如何保护你的SESSIOn数据。
总是在部门防守是要走的路。 第一次使用会话来存储用户login数据第二如果pipe理员login也检查数据库，可能会减慢一点，但因为有less量的pipe理员和rest是用户这是一个可行的安全加。 第三保护你的会话<=！
会话保护：将会话开始放到一个对象文件中，在该对象文件中，您可以在自身构造上调用“is_session_valid（）”函数。 这个函数将检查$ _SERVER超全局的（IP / TIME / Browser），并将它们存储在会话中。 上一个下一个负载看看是否值相同，如果不是没有更多的资源注销用户和显示索引页面。
这不是一个完整的解决scheme，因为它可能是同一个networking上的相同的浏览器，例如有很多用户和会话劫持的Wifi也可能是最近的（及时的）。 但是，直到没有使用SSL这是远远更好，然后什么都没有。 无论如何很less发生，受害者和劫机者使用相同的一切….所以这有效地减less了即使没有任何SSL成功的攻击的机会！
Kevin Skoglund最初的想法是，如果对保护您的APP没有兴趣，请参阅他的安全PHP教程。 https://www.lynda.com/PHP-tutorials/Creating-Secure-PHP-Websites/133321-2.html
PS还需要使用其他一些防御措施（CSRF至less）来保护AP
再见:-)
