# Czym jest przejęcie sesji?

> Przejęcie sesji (session hijacking) to przejęcie uwierzytelnionej sesji — zwykle przez kradzież lub powtórne użycie jej tokenu albo ciasteczka — tak że atakujący dziedziczy dostęp ofiary bez wykonywania logowania.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/session-hijacking/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Ponieważ artefakt sesji jest po zalogowaniu dowodem tożsamości, jego posiadanie omija nawet silne uwierzytelnianie. Ścieżki kradzieży obejmują cross-site scripting, złośliwe oprogramowanie odczytujące pamięć przeglądarki, przekaźniki adversary-in-the-middle, wyciek tokenów przez logi lub referery, side-jacking na nieszyfrowanych kanałach i fiksację, gdzie atakujący podkłada identyfikator sesji.

Obrona działa na dwóch warstwach: utrudnij kradzież tokenów i uczyń skradzione tokeny szybko bezużytecznymi. Bezpieczne atrybuty ciasteczek, ochrona transportu, wiązanie tokenów z kontekstem klienta tam, gdzie wykonalne, krótkie czasy życia, rotacja przy zmianie uprawnień, wykrywanie anomalii właściwości sesji i działające unieważnianie — wszystko to zawęża okno ataku.

### Najważniejsze punkty

- **Wektory kradzieży:** Cross-site scripting, złośliwe lub podatne rozszerzenia, złośliwe oprogramowanie punktu końcowego, phishing przez proxy, wyciek przez referery i logi oraz przechwycenie tam, gdzie brak ochrony transportu.
- **Łagodzenie:** Ciasteczka `Secure`, `HttpOnly` i odpowiednio zawężone; pełne szyfrowanie transportu; wiązanie i rotacja tokenów; krótkie czasy bezczynności i absolutne czasy życia; ponowne uwierzytelnianie dla wrażliwych działań.
- **Detekcja i reakcja:** Alarmuj o anomaliach sesji, takich jak zmiana klienta, lokalizacji lub odcisku; zapewnij działające unieważnianie; unieważniaj sesje przy resecie poświadczeń i przy podejrzeniu kradzieży.
- **Istotne ograniczenie:** Poprawnie skonfigurowane ciasteczka nie zatrzymują kradzieży przez złośliwe oprogramowanie lub XSS na punkcie końcowym, a długo żyjące sesje zostawiają szerokie okno nadużyć nawet przy szyfrowanym transporcie. Unieważnienie, które nie dociera do każdej usługi wydającej i konsumującej, nie jest unieważnieniem.

### Powiązane terminy

[Zarządzanie sesjami](<https://yellowcube.eu/pl/glossary/session-management/>) · [Token uwierzytelniający](<https://yellowcube.eu/pl/glossary/authentication-token/>) · [Przejęcie konta (ATO)](<https://yellowcube.eu/pl/glossary/account-takeover/>) · [Adversary-in-the-middle (AiTM) phishing](<https://yellowcube.eu/pl/glossary/adversary-in-the-middle-phishing/>) · [Cross-site scripting (XSS)](<https://yellowcube.eu/pl/glossary/cross-site-scripting/>)

### Źródła

[OWASP, Session Management Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html) · [MITRE ATT&CK T1539: Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539/) · [MITRE ATT&CK T1550: Use Alternate Authentication Material](https://attack.mitre.org/techniques/T1550/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.