風險等級：中
漏洞風險：會使攻擊者劫持並操縱客戶會話，模仿合法用戶，並以該用戶身份查看或變更用戶記錄以及執行事務
N-Base分類：客戶端攻擊類型----會話劫持
漏洞描述：
應用程序向每名未通過驗證的用戶發佈一個匿名會話令牌。在用戶登錄後，它並不發佈新令牌，相反，他們現有的會話被升級爲通過驗證的會話。使用應用程序服務器的默認會話處理機制的應用程序常採用這種行爲。
這種攻擊方式的核心要點就是讓合法用戶使用攻擊者預先設定的session ID來訪問被攻擊的應用程序，一旦用戶的會話ID被成功固定，攻擊者就可以通過此session id來冒充用戶訪問應用程序。
測試工具：BURP、手動、谷歌瀏覽器
實戰案例：
這個漏洞實際經驗，掃描器也能掃到，但是總是時靈時不靈，推薦手工用BURP測試下。或者直接用瀏覽器開發者工具也行。
漏洞比較簡單，直接上圖吧，沒什麼好說的。
解決建議：
在用戶提供驗證信息，相應的權限級別發生改變的時候， session id應重新生成。