Session Hijacking là gì ?

Session Hijacking là quá trình chiếm lấy một session đang hoạt động, nhằm mục đích vượt qua
quá trình chứng thực truy cập bất hợp lệ vào thông tin hoặc dịch vụ của một hệ thống máy tính..

Khi một user thực hiện kết nối tới server qua quá trình xác thực, bằng cách cung cấp ID người
dùng và mật khẩu của mình. Sau khi người dùng xác thực, họ có quyền truy cập đến máy chủ và
hoạt động bình thường.Trong quá trình hoạt động, người dùng không cần phải chứng thực lại. Kẻ
tấn công lợi dụng điều này để cướp session đang hoạt động của người dùng và làm cho người
dùng không kết nối được với hệ thống. Sau đó kẻ tấn công mạo danh người dùng bằng session
vừa cướp được, truy cập đến máy chủ mà không cần phải đăng nhập vào hệ thống.

Khi cướp được session của người dùng, kẻ tấn công có thể vượt qua quá trình chứng thực dùng,
có thể ghi lại phiên làm việc và xem lại mọi thứ đã diễn ra. Đối với cơ quan pháp lý, có thể dùng
làm bằng chứng để truy tố, đối với kẻ tấn công, có thể dùng thu thập thông tin như ID người
dùng và mật khẩu. Điều này gây nhiều nguy hại đến người dùng.

Sự khác nhau giữa Spoofing và Hijacking

Spoofing và Hijacking thì tương tự nhau, nhưng có một vài điểm phân biệt giữa chúng.

Tấn công Spoofing khác hijacking ở chỗ kẻ tấn công không thực hiện được tấn công khi người
dùng không hoạt động. Kẻ tấn công giả dạng người dùng để truy cập. Trong khi thực hiện, người
bị tấn công có thể là ở nhà hoặc ở bất kỳ nơi nào đó, người bị tấn công không có vai trò gì trong
cuộc tấn công đó.

Đối với Hijacking, kẻ tấn công chiếm session sau khi người dùng đã chứng thực với hệ thống
may tính. Bằng cách này, kẻ tấn công có thể truy cập vào hệ thống một cách hợp lệ, sử dụng
phiên làm việc của người dùng hợp lệ để giao tiếp với server.

Điểm khác biệt chính giữa Spoofing và Hijacking là: Spoofing chỉ lien quan đến kẻ tấn công và
Server. Như hình minh họa bên dưới

Ví dụ về tấn công spoofing

Đối với Session Hijacking, kẻ tấn công phải đợi nạn nhân kết nối với server, chứng thực với
server rồi mới tấn công để lấy session của nạn nhân. Lúc này, kẻ tấn công giả dạng nạn nhân để
giao tiếp với server. Hình minh họa:

Ví dụ về tấn công Session Hijacking.