취약점 분석 – 세션 고정 (Session Fixation)

정의

공격자가 고정된 세션 ID를 미리 발급하고, 피해자가 해당 세션으로 로그인하게 만드는 공격입니다.

예시

공격자가 URL에 세션 ID 포함하여 링크 전달 → 로그인 후 공격자가 세션 탈취

위험성

세션 탈취 후 피해자 권한 도용

방어법

로그인 시점에 세션 재생성, URL에 세션 ID 전달 금지