تست طرح مدیریت نشست

تست طرح مدیریت نشست چیست؟

مدیریت نشست (Session Management) مکانیزمی است که وضعیت کاربر بین درخواست‌های HTTP حفظ می‌کند. پروتکل HTTP بدون حالت (stateless) است و هر درخواست مستقل است. نشست‌ها به برنامه اجازه می‌دهند کاربر را شناسایی و وضعیت او را حفظ کنند.

چرا مدیریت نشست مهم است؟

مدیریت نشست ضعیف می‌تواند منجر به تصاحب حساب کاربری، سرقت اطلاعات حساس و دسترسی غیرمجاز شود. بسیاری از حملات وب بر ضعف‌های مدیریت نشست تکیه دارند.

روش‌شناسی تست

مرحله ۱: بررسی نحوه ایجاد نشست

بررسی کنید نشست چگونه ایجاد و به کاربر اختصاص داده می‌شود:

• آیا Session ID قبل از ورود کاربر ایجاد می‌شود؟
• آیا Session ID بعد از ورود تغییر می‌کند؟
• آیا Session ID به‌اندازه کافی تصادفی است؟
• آیا Session ID در Cookie ذخیره می‌شود؟

مرحله ۲: بررسی ویژگی‌های Session ID

Session ID را از نظر امنیتی بررسی کنید:

1# دریافت Cookie
2curl -v https://target.com/login 2>&1 | grep -i 'set-cookie'
3
4# بررسی طول Session ID
5curl -v https://target.com/login 2>&1 | grep -i 'session'
6
7# بررسی ویژگی‌های Cookie
8# باید شامل HttpOnly، Secure و SameSite باشد
9
10# بررسی تغییر Session ID بعد از ورود
11curl -v https://target.com/login -d 'user=admin&pass=admin' 2>&1 | grep -i 'set-cookie'

مرحله ۳: بررسی خاتمه نشست

بررسی کنید نشست چگونه خاتمه می‌یابد:

• آیا نشست بعد از خروج معتبر زدایی می‌شود؟
• آیا نشست بعد از عدم فعالیت منقضی می‌شود؟
• آیا نشست بعد از تغییر رمز عبور معتبر زدایی می‌شود؟
• آیا نشست‌های قدیمی پاک می‌شوند؟

مرحله ۴: تست حملات مدیریت نشست

حملات رایج مدیریت نشست را تست کنید:

ویژگی‌های Session ID امن

تأثیر

مدیریت نشست ضعیف می‌تواند منجر به تصاحب حساب کاربری، سرقت اطلاعات حساس، دسترسی غیرمجاز و نقض حریم خصوصی شود.

راه‌حل

• از CSPRNG برای تولید Session ID استفاده کنید
• Session ID را بعد از ورود تغییر دهید
• از Cookie با HttpOnly و Secure استفاده کنید
• زمان انقضا برای نشست تنظیم کنید
• نشست را بعد از خروج معتبر زدایی کنید
• از HTTPS برای تمام ارتباطات استفاده کنید
• Session ID را در URL قرار ندهید

1const session = require('express-session');
2const crypto = require('crypto');
3
4app.use(session({
5  secret: crypto.randomBytes(64).toString('hex'),
6  name: 'sessionId', // نام سفارشی به جای connect.sid
7  resave: false,
8  saveUninitialized: false,
9  cookie: {
10    secure: true,      // فقط HTTPS
11    httpOnly: true,    // غیرقابل دسترسی از JavaScript
12    sameSite: 'strict', // جلوگیری از CSRF
13    maxAge: 30 * 60 * 1000 // 30 دقیقه
14  }
15}));
16
17// تغییر Session ID بعد از ورود
18app.post('/login', (req, res) => {
19  // احراز هویت کاربر
20  req.session.regenerate((err) => {
21    req.session.userId = user.id;
22    res.redirect('/dashboard');
23  });
24});
25
26// معتبر زدایی نشست بعد از خروج
27app.post('/logout', (req, res) => {
28  req.session.destroy((err) => {
29    res.clearCookie('sessionId');
30    res.redirect('/login');
31  });
32});