再谈一下session保持，由于session总是会过期的，需要一直有人刷新才行。还记得cnqing写的那个session保持工具，其实攻击wap不需要保持真正的session，要的是sid。我们只要下面一段javascript代码，就可以一直保持这个sid了。[……]
标签存档: session
SessionIE3.31
作者: 空虚浪子心 日期: 2008 年 09 月 27 日 没有评论 | 4,906 views
3.1 版本更新 2008年9月27日
1.增加预定义动作，即获得session后执行预定义的httprequest；
2.增加BUgReport
3.增加手动开始和停止按钮
4.界面和部分细节调整
[……]
Session Fixation 攻防实战
作者: 空虚浪子心 日期: 2008 年 09 月 19 日 没有评论 | 6,405 views
/文 空虚浪子心[XGC]
【IT168 专稿】最近笔者在网上看到一个新文章《JSESSIONID Regeneration in Struts 2》，讲的是一段代码，在STRUTS 2框架中，防御Session Fixation攻击。笔者比较老土，看不懂英文，还好能看懂代码，发现这是一种平时开发中(至少自己是这样)，从来没注意过的攻击。关于这种攻击，刺在自己博客上写了篇文章《关于Session Fixation》。我在邮件列表，和文章后面跟帖讨论了下，但是仍然感觉自己说的不是很清晰，毕竟没有实战，所以实践了一下自己的想法，重新写篇文章补充下。注：为了保证质量，本文假设读者对cookie和session基本概念和特性已经掌握。
[……]