讓我們看乙個最常見的例子——會話劫持，如圖10-2所示。
圖10-2 會話劫持說明
如圖10-2所示，受害者alice正常的登入**為www.buybook.com，此時她的session id是1234567，攻擊者bob通過網路嗅探獲得了alice的session id和cookie中的使用者登入資訊，這樣他就可以模仿alice進行登入和操作了，而此時此刻alice可能毫無所知。
最常見的獲取session id的方式就是我們前面講解的xss。下面通過具體的步驟詳細地模擬會話劫持。
➊ 我們正常地登入乙個**（這裡用google chrome），登入的使用者名稱是admin，記錄好登入後的jsessionid，如圖10-3所示。
圖10-3 正常登入的session id
圖10-4 我們在嘗試訪問乙個私密鏈結
➌ 開啟webscrab並開啟proxy中的「intercept requests」功能，並把firefox的**設定成webscrab的ip和埠（8008），然後再次訪問這個私密鏈結，這時webscrab會截獲這個請求，然後修改jsessionid為上面admin使用者的jsessionid，如圖10-5所示，提交。
圖10-5 利用webscrab抓取並修改請求
➍ 這時我們會發現進入了admin使用者的個人資訊（profile）頁面。這說明我們成功地以admin使用者的身份進行了登入，如圖10-6所示。當然了，這個例子只是乙個會話劫持的模擬，在實際的網路中，jsessionid往往是通過xss洩露出去的（或者沒有走安全的協議而被嗅探）。
圖10-6 成功地利用別人的會話訪問了私密頁面
本文節選自《web應用安全威脅與防治——基於owasp top 10與esapi》
王文君 李建蒙 編著
電子工業出版社出版
誰動了我的PID
1，pid是乙個閉環控制演算法。因此要實現pid演算法，必須在硬體上具有閉環控制，就是得有反饋。比如控制乙個電機的轉速，就得有乙個測量轉速的感測器，並將結果反饋到控制路線上，下面也將以轉速控制為例。2，pid是比例 p 積分 i 微分 d 控制演算法。但並不是必須同時具備這三種演算法，也可以是pd,...
誰動了我的PID
1，pid是乙個閉環控制演算法。因此要實現pid演算法，必須在硬體上具有閉環控制，就是得有反饋。比如控制乙個電機的轉速，就得有乙個測量轉速的感測器，並將結果反饋到控制路線上，下面也將以轉速控制為例。2，pid是比例 p 積分 i 微分 d 控制演算法。但並不是必須同時具備這三種演算法，也可以是pd,...
誰動了我的Config
概述 國內主要網路裝置的廠商是思科和華為為代表的國內和國外廠商。這些廠商的網路裝置的交流作業系統的名字不同，操作的命令也不一樣，但是實現的機理是一樣的。下面就以思科的網路裝置為例來做介紹，其它廠商的也類似。思科的網路裝置的作業系統主要是iso，即cisco internetwork operatin...