Akademi
TerimVeri

Oturum çerezi

Session cookie

Kullanıcı giriş yaptıktan sonra sitenin onu tanımak için tarayıcıya bıraktığı, parolanın yerini tutan kimlik kanıtı.

Akış

  1. 1Oturum açılır
  2. 2Çerez çalınır
  3. 3Çerez kullanılır
İlgili aileler
—
MITRE ATT&CK
T1539 · Steal Web Session Cookie
Kaynak
4 kaynak
01

Genel bakış

Kullanıcı bir kez giriş yaptıktan sonra site her istekte parola sormaz; tarayıcıdaki oturum kimliğine bakar. OWASP’a göre oturum kimliği, oturum açıldıktan sonra uygulamanın kullandığı en güçlü doğrulama yöntemine eşdeğerdir; ele geçirilmesi saldırganın kullanıcının yerine tamamen geçmesine yol açar. OWASP

MITRE ATT&CK’e göre kimlik doğrulama çerezleri, uygulama etkin kullanılmasa bile uzun süre geçerli kalabilir; çerezi alan saldırgan onu kendi tarayıcısına yükleyip oturum açık kaldıkça kullanıcı gibi davranabilir. MITRE ATT&CK

Google’a göre çerez hırsızlığı girişten sonra gerçekleştiği için iki aşamalı doğrulamayı ve giriş anındaki diğer denetimleri atlatır; zararlı yazılım silindikten sonra da çalınan çerezler çalışmaya devam eder. Google Chromium

02

Nasıl çalışır

  1. 1

    Oturum açılır

    Kullanıcı parolasını ve gerekiyorsa ikinci doğrulama kodunu girer; site tarayıcıya oturum çerezi yazar. OWASP

  2. 2

    Çerez çalınır

    Infostealer tarayıcının çerez veritabanını okuyup diğer verilerle birlikte dışarı gönderir. MITRE ATT&CK

  3. 3

    Çerez kullanılır

    Saldırgan çerezi kendi tarayıcısına yükler; site onu kullanıcı sanar. MITRE ATT&CK

03

Gerçek örnekler

Google: cihaza bağlı oturumlar

Google, çalınan çerezleri değersiz kılmak için oturumu cihazdaki ve dışarı çıkarılamayan bir anahtara bağlayan Device Bound Session Credentials (DBSC) yaklaşımını duyurdu; amaç, çalınan çerezlerin satışından elde edilen kazancı ortadan kaldırmak. Google Chromium

04

Nasıl fark edilir

  • Aynı oturumun kısa süre içinde farklı ülke, ağ ya da tarayıcı parmak iziyle kullanılması. MITRE ATT&CK
05

Ne yapılmalı

  • Oturum ömrünü kısaltın; parola değiştirildiğinde ya da şüpheli girişte tüm oturumları sonlandırın. OWASP
  • Infostealer bulaşması görülen cihazın kullanıcısı için parolayı değiştirmekle yetinmeyin, açık oturumları da kapatın. Google Chromium
06

MITRE ATT&CK

T1539Steal Web Session CookieT1550.004Web Session Cookie
07

İlgili terimler

Terimler

Oturum çalmaÇerezle oturum yenilemeÇok aşamalı doğrulamayı atlatmaStealer loguAntidetect tarayıcı
08

Kaynaklar

  1. 1Steal Web Session Cookie (T1539) · MITRE ATT&CK
  2. 2Web Session Cookie (T1550.004) · MITRE ATT&CK
  3. 3Session Management Cheat Sheet · OWASP
  4. 4Fighting cookie theft using device bound sessions · Google Chromium, 2024-04-02