Session Fixation والـ Rotation: id جديد مع كل صلاحية جديدة

01 / ملخص الدرس

هجمة الـ session fixation بالتجربة: المهاجم بيزرع session id عند الضحية قبل الـ login، وبعد الـ login بيستخدمه. الحل: rotation (session جديدة بـ id جديد) عند الـ login وعند أي رفع للصلاحية، ومسح القديمة. والأعمار: idle timeout بيتمد مع الاستخدام، و absolute timeout ما بيتمدش، و sudo mode للعمليات الحساسة (تأكيد password قريب).

ضمن مسارباك إند Node.js للإنتاج — من تحت الصفر62 / 122

02 / شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

أهلًا بيك. مواقع كتير بتدّي كل زائر session من أول زيارة، حتى قبل الـ login، علشان عربية التسوق مسلًا. وبعد الـ login، بتكتب الـ userId في نفس الـ session. شكلها سليم، بس فيها vulnerability اسمها session fixation. store dot js فيه functions بسيطة للـ sessions في Redis. و server dot js بيعمل بالزبط الكلام ده. attack dot js: المهاجم بيفتح الموقع، وياخد session فاضية. وبيزرعها عند الضحية: بـ link، أو subdomain عنده بيكتب cookie للـ domain الرئيسي، أو XSS. الضحية بتسجّل دخول. والمهاجم بيستخدم نفس الـ id. نشغّل الـ server والهجمة.

attack.js

// المهاجم والضحية، بـ fetch
const base = "http://localhost:3000";
const sidOf = (res) => res.headers.get("set-cookie")?.match(/sid=([^;]+)/)?.[1];

// 1) المهاجم بياخد session فاضية من الموقع
const attackerSid = sidOf(await fetch(`${base}/me`));

// 2) بيزرعها عند الضحية (لينك، أو subdomain بيكتب cookie، أو XSS)
const victim = { cookie: `sid=${attackerSid}` };

// 3) الضحية بتسجّل دخول
const login = await fetch(`${base}/login`, { method: "POST", headers: victim });
const victimSid = sidOf(login) ?? attackerSid;
console.log("الـ session اتغيّرت بعد الـ login؟", victimSid !== attackerSid);

// 4) المهاجم بيستخدم نفس الـ sid
const stolen = await fetch(`${base}/me`, { headers: { cookie: `sid=${attackerSid}` } });
console.log("المهاجم:", stolen.status, await stolen.text());

المخرجات

$ node server.js & sleep 0.8; node attack.js; kill $!
http://localhost:3000
الـ session اتغيّرت بعد الـ login؟ false
المهاجم: 200 {"userId":7,"balance":5000}

الـ session ما اتغيّرتش بعد الـ login، والمهاجم دخل: two hundred، والرصيد قدامه. من غير ما يعرف password ولا يسرق cookie بعد الـ login. هو اللي اختار الـ id من الأول. الحل: الـ login يعمل session جديدة خالص بـ id جديد، ويمسح القديمة. ودي اسمها session rotation. الـ login الجديد: بيانات الـ session القديمة، زي عربية التسوق، بتتنقل، بس بـ id جديد، والقديم يتمسح. نفس الهجمة.

server.js

import express from "express";
import cookieParser from "cookie-parser";
import { redis, newId, save, load, destroy } from "./store.js";

await redis.flushall();
const app = express();
app.use(express.json(), cookieParser());
const COOKIE = { httpOnly: true, sameSite: "lax" };

// كل زائر بياخد session من أول زيارة (عربية التسوق مسلًا)
app.use(async (req, res, next) => {
  req.sid = req.cookies.sid;
  req.session = await load(req.sid);
  if (!req.session) {
    req.sid = newId();
    req.session = { cart: [] };
    await save(req.sid, req.session);
    res.cookie("sid", req.sid, COOKIE);
  }
  next();
});

// ✅ login: session جديدة بـ id جديد، والقديمة تتمسح
app.post("/login", async (req, res) => {
  const fresh = { ...req.session, userId: 7, authAt: Date.now() };
  await destroy(req.sid);
  const sid = newId();
  await save(sid, fresh);
  res.cookie("sid", sid, COOKIE);
  res.json({ ok: true });
});

app.get("/me", (req, res) => {
  if (!req.session.userId) return res.status(401).json({ error: "سجّل دخول" });
  res.json({ userId: req.session.userId, balance: 5000 });
});

app.listen(3000, () => console.log("http://localhost:3000"));

المخرجات

$ node server.js & sleep 0.8; node attack.js; kill $!
http://localhost:3000
الـ session اتغيّرت بعد الـ login؟ true
المهاجم: 401 {"error":"سجّل دخول"}

الـ session اتغيّرت، والمهاجم: four oh one. الـ id اللي زرعه بقى مالوش أي قيمة. والقاعدة أوسع من الـ login: أي تغيير في مستوى الصلاحية، rotation: الـ login، وتأكيد الـ password قبل عملية حساسة، وتغيير الـ role. ومع الـ rotation، الـ session ليها عمرين: idle: لو مفيش نشاط نص ساعة، خلاص، وبيتمد مع كل request. absolute: حتى لو شغال طول الوقت، بعد اتناشر ساعة لازم login تاني، وده ما بيتمدش. علشان لو cookie اتسرقت، ما تفضلش شغالة للأبد. التحدي: sessions بأعمار وبـ sudo mode. rotation في الـ login. idle و absolute timeout. تغيير الإيميل عملية حساسة: لو آخر تأكيد password قديم، four oh three. و confirm بيأكد الـ password ويعمل rotation تاني. الأوقات صغيرة علشان نجرّب. حالات الاختبار في الكومنت، و test dot js جاهز يجرّبهم.

تمرين

middleware بيمسح الـ session لو idle أو absolute خلص ويحدّث lastSeen، و login/confirm بيعملوا rotate، و POST /email ← 403 لو authAt أقدم من SUDO_MS.

الحل. rotate: يمسح القديم، و id جديد، ويحفَظ، ويحط الـ cookie. الـ middleware: لو خلص أي عمر، يمسح. وإلا يعمل update لـ lastSeen. login و confirm بيستخدموا rotate. و email بيشيك على authAt. نشغّل الـ server والاختبار.

server.js

import express from "express";
import cookieParser from "cookie-parser";
import { redis, newId, save, load, destroy } from "./store.js";

await redis.flushall();
const app = express();
app.use(express.json(), cookieParser());
const COOKIE = { httpOnly: true, sameSite: "lax" };
// أوقات صغيرة علشان نجرّب (في الحقيقة: 30 دقيقة، 12 ساعة، 5 دقايق)
const IDLE_MS = 400;
const ABSOLUTE_MS = 1500;
const SUDO_MS = 600;


async function rotate(req, res, data) {
  if (req.sid) await destroy(req.sid);
  req.sid = newId();
  req.session = data;
  await save(req.sid, data);
  res.cookie("sid", req.sid, COOKIE);
}

app.use(async (req, res, next) => {
  req.sid = req.cookies.sid;
  const s = await load(req.sid);
  const now = Date.now();
  if (!s || now - s.lastSeen > IDLE_MS || now - s.createdAt > ABSOLUTE_MS) {
    if (s) await destroy(req.sid);
    req.session = null;
  } else {
    s.lastSeen = now;
    await save(req.sid, s);
    req.session = s;
  }
  next();
});

app.post("/login", async (req, res) => {
  if (req.body.password !== "pass") return res.status(401).json({ error: "غلط" });
  const now = Date.now();
  await rotate(req, res, { userId: 7, createdAt: now, lastSeen: now, authAt: now });
  res.json({ ok: true });
});

app.get("/me", (req, res) => {
  if (!req.session) return res.status(401).json({ error: "سجّل دخول" });
  res.json({ userId: req.session.userId });
});

app.post("/email", (req, res) => {
  if (!req.session) return res.status(401).json({ error: "سجّل دخول" });
  if (Date.now() - req.session.authAt > SUDO_MS) return res.status(403).json({ error: "أكّد الـ password" });
  res.json({ ok: "الإيميل اتغيّر" });
});

app.post("/confirm", async (req, res) => {
  if (!req.session || req.body.password !== "pass") return res.status(401).json({ error: "غلط" });
  await rotate(req, res, { ...req.session, authAt: Date.now() });
  res.json({ ok: true });
});

app.listen(3000, () => console.log("http://localhost:3000"));

المخرجات

$ node server.js & sleep 0.8; node test.js; kill $!
http://localhost:3000
me: 200
email بعد 700ms: 403
confirm: 200 | email: 200
الـ sid الأول بعد الـ rotation: 401
كل 300ms: 200 200 401 401 401 ← absolute
بعد 500ms سكوت: 401 ← idle

me two hundred. الإيميل بعد سبعمية millisecond: four oh three. بعد confirm: two hundred. الـ sid الأول بعد الـ rotation: four oh one. كل تلتمية millisecond: شغال، لحد ما الـ absolute خلص فـ four oh one. وبعد سكوت: four oh one بسبب الـ idle. الدرس الجاي: الـ cookie flags والـ CSRF.

test.js

const base = "http://localhost:3000";
const sleep = (ms) => new Promise((r) => setTimeout(r, ms));
let sid;
async function call(method, path, body, useSid = sid) {
  const res = await fetch(base + path, {
    method,
    headers: { "Content-Type": "application/json", cookie: `sid=${useSid}` },
    body: body && JSON.stringify(body),
  });
  sid = res.headers.get("set-cookie")?.match(/sid=([^;]+)/)?.[1] ?? sid;
  return res.status;
}

await call("POST", "/login", { password: "pass" });
const first = sid;
console.log("me:", await call("GET", "/me"));
await sleep(250);
await call("GET", "/me");
await sleep(250);
await call("GET", "/me");
await sleep(200);
console.log("email بعد 700ms:", await call("POST", "/email"));
console.log("confirm:", await call("POST", "/confirm", { password: "pass" }), "| email:", await call("POST", "/email"));
console.log("الـ sid الأول بعد الـ rotation:", await call("GET", "/me", null, first));
const statuses = [];
for (let i = 0; i < 5; i++) {
  await sleep(300);
  statuses.push(await call("GET", "/me"));
}
console.log("كل 300ms:", statuses.join(" "), "← absolute");
await call("POST", "/login", { password: "pass" });
await sleep(500);
console.log("بعد 500ms سكوت:", await call("GET", "/me"), "← idle");

03 / دروس المسار (122)