如何在通过 Burpsuite 更改请求后检查真实的 liferay 用户
How to check for real liferay user after altering the request through Burpsuite
我正在使用 Burpsuite 对 Liferay 进行一些漏洞检查。
通过 burpsuite，我更改了 Get: 请求和 cookie
Cookie: JSESSIONID=8415D05C1E66F72CE8803607B6FEC26B.node1; COOKIE_SUPPORT=true; USER_UUID="2n3duSU0cr8TgknmHzm8ghmRUS2LVJfx6zmuvGFspuY="; GUEST_LANGUAGE_ID=en_US; LFR_SESSION_STATE_2983586=1431672874448; COMPANY_ID=10154; ID=79307664464f436b414f657133626843444f577a65773d3d;
从一个用户到另一个用户。然后加载页面，就好像该用户是我从中复制请求的其他用户一样。
我尝试使用 ThemeDisplay、serviceContext.getUserId、request.getRemoteUser 检查当前用户，但在我 "hacked" 更改请求之前无法获得真实用户。
如果请求参数和 cookie 被更改，我如何才能获得真实用户？
如果您（理所当然地）不能信任服务器和浏览器之间的网络连接，只需切换到 https - 问题已解决。除了会话 cookie 之外，任何 public 交换的信息都可以伪造。如果您仅在加密通道上进行通信，则需要让攻击者 在 服务器或 在 客户端计算机上。无论如何，所有的赌注都没有了。
会话 ID cookie 是 http 在浏览器和服务器之间以其他无状态协议进行状态通信的方式。如果它可以被欺骗，则没有其他方式（也 public）信息可以替换这个伪随机数 - 所以你需要将它保密。
检查 this article and this Liferay App 由您真实地检查 https 和混合模式 (http/https) 的问题。剧透警报：混合模式通常不起作用。至少它没有解决你期望它解决的问题。
我正在使用 Burpsuite 对 Liferay 进行一些漏洞检查。 通过 burpsuite，我更改了 Get: 请求和 cookie
Cookie: JSESSIONID=8415D05C1E66F72CE8803607B6FEC26B.node1; COOKIE_SUPPORT=true; USER_UUID="2n3duSU0cr8TgknmHzm8ghmRUS2LVJfx6zmuvGFspuY="; GUEST_LANGUAGE_ID=en_US; LFR_SESSION_STATE_2983586=1431672874448; COMPANY_ID=10154; ID=79307664464f436b414f657133626843444f577a65773d3d;
从一个用户到另一个用户。然后加载页面，就好像该用户是我从中复制请求的其他用户一样。
我尝试使用 ThemeDisplay、serviceContext.getUserId、request.getRemoteUser 检查当前用户，但在我 "hacked" 更改请求之前无法获得真实用户。
如果请求参数和 cookie 被更改，我如何才能获得真实用户？
如果您（理所当然地）不能信任服务器和浏览器之间的网络连接，只需切换到 https - 问题已解决。除了会话 cookie 之外，任何 public 交换的信息都可以伪造。如果您仅在加密通道上进行通信，则需要让攻击者 在 服务器或 在 客户端计算机上。无论如何，所有的赌注都没有了。
会话 ID cookie 是 http 在浏览器和服务器之间以其他无状态协议进行状态通信的方式。如果它可以被欺骗，则没有其他方式（也 public）信息可以替换这个伪随机数 - 所以你需要将它保密。
检查 this article and this Liferay App 由您真实地检查 https 和混合模式 (http/https) 的问题。剧透警报：混合模式通常不起作用。至少它没有解决你期望它解决的问题。