Session Hijacking, CSRF, Session Fixation: Hacker đánh cắp phiên đăng nhập như thế nào?

# Nginx: Force HTTPS
server {
    listen 80;
    return 301 https://$host$request_uri;
}

// PHP — Cookie an toàn
session_set_cookie_params([
    'lifetime' => 3600,
    'path'     => '/',
    'domain'   => 'example.com',
    'secure'   => true,    // Chỉ gửi qua HTTPS
    'httponly' => true,    // JavaScript không đọc được cookie
    'samesite' => 'Strict' // Ngăn gửi cookie trong cross-site request
]);

// Node.js / Express
app.use(session({
  secret: process.env.SESSION_SECRET,
  cookie: {
    secure: true,
    httpOnly: true,
    sameSite: 'strict',
    maxAge: 3600000
  }
}));

<!-- Mỗi form phải có CSRF token ẩn -->
<form method="POST" action="/transfer">
    <input type="hidden" name="_csrf" value="{{ csrf_token }}">
    <input type="text" name="amount">
    <button type="submit">Chuyển tiền</button>
</form>

# Django — tự động xử lý CSRF
from django.middleware.csrf import CsrfViewMiddleware
# Django bật CsrfViewMiddleware mặc định — luôn dùng {% csrf_token %} trong form

Set-Cookie: session=abc123; SameSite=Strict; Secure; HttpOnly

def check_csrf(request):
    origin = request.headers.get('Origin')
    referer = request.headers.get('Referer')
    allowed_origins = ['https://example.com']
    
    if origin and origin not in allowed_origins:
        raise CSRFError("Invalid origin")
    if referer:
        parsed = urlparse(referer)
        if f"{parsed.scheme}://{parsed.netloc}" not in allowed_origins:
            raise CSRFError("Invalid referer")

// Java / Spring — Tái tạo session sau login
HttpSession oldSession = request.getSession(false);
if (oldSession != null) {
    oldSession.invalidate(); // Hủy session cũ
}
HttpSession newSession = request.getSession(true); // Tạo session mới
newSession.setAttribute("user", authenticatedUser);

// Hết hạn session sau thời gian không hoạt động
define('SESSION_TIMEOUT', 1800); // 30 phút

if (isset($_SESSION['last_activity']) && 
    (time() - $_SESSION['last_activity']) > SESSION_TIMEOUT) {
    session_unset();
    session_destroy();
    redirect('/login');
}
$_SESSION['last_activity'] = time();

// ❌ Sai: Chỉ xóa biến session
unset($_SESSION['user']); // Session ID vẫn tồn tại!

// ✅ Đúng: Hủy hoàn toàn session
$_SESSION = [];
if (isset($_COOKIE[session_name()])) {
    setcookie(session_name(), '', time() - 3600, '/');
}
session_destroy();

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-{random}'; object-src 'none'