1/ Ví dụ như mình, mỗi lần mình vào tài khoản facebook, thì mình chỉ cần gõ vào facebook, và firefox có chức năng nhớ ID và pass của mình để tự động đăng nhập vào, và như mình đc thấy thì Cain bắt được gói tin đó dưới dạng ID và password đã được mã hoá,
 

2 cái này không liên quan với nhau bạn à. Một bên là chức năng nhớ thông tin của trình duyệt, một bên là nghe lén HTTP session. Kể cá bạn đăng nhập mà không chọn nhớ mật khẩu thì vẫn bị đánh cắp session như thường. 

Chả là sau khi tham khảo bài viết " HTTP Session Sidejacking "
Mình có làm lab để kiếm chứng và đúng là có lấy được session của máy Victim, đăng nhập vào tài khoản của họ mà ko cần ID và Password.
Và mình cũng tìm hiểu là session timeout là khoản 15-20', tuỳ người lập trình ^^ ( cái này trước có học làm web nên cũng có tìm hiểu sơ qua ).
Và sau đây là những vấn đề mình thắc mắc sau bài lab của bác Xnohat mong các bác trả lời nhiệt tình, ^^ (mình ko phải là người phá phách hack tài khoản người ta rồi viết bậy bạ lên đó, mình muốn hiểu rõ thêm về những gì mình đang làm và đang học thôi.)

1/ Ví dụ như mình, mỗi lần mình vào tài khoản facebook, thì mình chỉ cần gõ vào facebook, và firefox có chức năng nhớ ID và pass của mình để tự động đăng nhập vào, và như mình đc thấy thì Cain bắt được gói tin đó dưới dạng ID và password đã được mã hoá,
Và sau lần đăng nhập đó thì client và server sẽ xác thực với nhau = session, có đúng không ? Và gói tin session không có ID và password trong đó có phải vậy không? và cứ mỗi lần mình có 1 thao tác vào trang đó, thì session time sẽ được reset lại đúng không ?

2/ Vì nó thuộc về tính năng của http ở tầng ứng dụng nên việc mình thay đổi mạng khác, ví dụ đang sài wireless , rồi tắt wireless qua 3G, miễn sao vần còn trong session time thì vẫn có thể duy trì đăng nhập và kết nối bình thường phải ko các bác? Cái này em chưa thử đc, vì ko có usb 3G kế bên, và khi về nhà thì session đã timeout, nên ko vào fb đó đc nữa

3/Server và client liên lạc với nhau và xác thực với nhau qua session ID và session time phải ko các bác?
Nếu như vậy thì những gói tin mình bắt chỉ là session ID phải ko ợ?

Tạm thời mình có bấy nhiu đó thắc mắc, nếu muốn hỏi nữa, mình sẽ cập nhật, cảm ơn các bác đã đọc bài viết. 

Chả là sau khi tham khảo bài viết " HTTP Session Sidejacking "
Mình có làm lab để kiếm chứng và đúng là có lấy được session của máy Victim, đăng nhập vào tài khoản của họ mà ko cần ID và Password.
Và mình cũng tìm hiểu là session timeout là khoản 15-20', tuỳ người lập trình ^^ ( cái này trước có học làm web nên cũng có tìm hiểu sơ qua ).
Và sau đây là những vấn đề mình thắc mắc sau bài lab của bác Xnohat mong các bác trả lời nhiệt tình, ^^ (mình ko phải là người phá phách hack tài khoản người ta rồi viết bậy bạ lên đó, mình muốn hiểu rõ thêm về những gì mình đang làm và đang học thôi.)

1/ Ví dụ như mình, mỗi lần mình vào tài khoản facebook, thì mình chỉ cần gõ vào facebook, và firefox có chức năng nhớ ID và pass của mình để tự động đăng nhập vào, và như mình đc thấy thì Cain bắt được gói tin đó dưới dạng ID và password đã được mã hoá,
Và sau lần đăng nhập đó thì client và server sẽ xác thực với nhau = session, có đúng không ? Và gói tin session không có ID và password trong đó có phải vậy không? và cứ mỗi lần mình có 1 thao tác vào trang đó, thì session time sẽ được reset lại đúng không ?

2/ Vì nó thuộc về tính năng của http ở tầng ứng dụng nên việc mình thay đổi mạng khác, ví dụ đang sài wireless , rồi tắt wireless qua 3G, miễn sao vần còn trong session time thì vẫn có thể duy trì đăng nhập và kết nối bình thường phải ko các bác? Cái này em chưa thử đc, vì ko có usb 3G kế bên, và khi về nhà thì session đã timeout, nên ko vào fb đó đc nữa

3/Server và client liên lạc với nhau và xác thực với nhau qua session ID và session time phải ko các bác?
Nếu như vậy thì những gói tin mình bắt chỉ là session ID phải ko ợ?

Tạm thời mình có bấy nhiu đó thắc mắc, nếu muốn hỏi nữa, mình sẽ cập nhật, cảm ơn các bác đã đọc bài viết.