低权限账户通过替换掉高权限用户的 JSESSIONID 进行提权，如何进行防御呢？

[yuhuan66666]

前几天听同事讲的可以进行这种攻击来提升权限。 突然又想起这事，想了解一下这攻击方案该如何进行有效的防御呢。

[捂脸] 同事出差了。。。。

[xenme]

这不就跟地权限账号可以通过高权限用户的账号和密码进行提权么，这怎么攻击？

[yuhuan66666]

@xenme #1 sorry 用词不当 ，就是提权

[loading]

难道你能拿到我浏览器存的 cookie ？

[zpfhbyx]

我写 cookie 都会用 ip+ua+一些信息 绑定，换 ip 和换浏览器 cookie 都会不生效。。

[redtea]

CSRF

[yuhuan66666]

@loading #3 举例子嘛 毕竟有的可以进行 XSS 跨站脚本攻击

[yuhuan66666]

@redtea #5 对对 就这个 谢谢！

[nfroot]

@yuhuan66666 别光想着防御，想想为什么会发生，有 XSS 就好好去防 XSS 好么。（具体自己百度吧）

你知道为什么会发生了，就知道如何解决了。