fixed markdown format

6.4.md

@@ -1,8 +1,8 @@
-#6.4 预防session劫持
+# 6.4 预防session劫持
 session劫持是一种广泛存在的比较严重的安全威胁，在session技术中，客户端和服务端通过session的标识符来维护会话， 但这个标识符很容易就能被嗅探到，从而被其他人利用.它是中间人攻击的一种类型。
 
 本节将通过一个实例来演示会话劫持，希望通过这个实例，能让读者更好地理解session的本质。
-##session劫持过程
+## session劫持过程
 我们写了如下的代码来展示一个count计数器：
 
 	func count(w http.ResponseWriter, r *http.Request) {
@@ -41,8 +41,8 @@ count.gtpl的代码如下所示：
 ![](images/6.4.hijacksuccess.png?raw=true)
 
 可以看到虽然换了浏览器，但是我们却获得了sessionID，然后模拟了cookie存储的过程。这个例子是在同一台计算机上做的，不过即使换用两台来做，其结果仍然一样。此时如果交替点击两个浏览器里的链接你会发现它们其实操纵的是同一个计数器。不必惊讶，此处firefox盗用了chrome和goserver之间的维持会话的钥匙，即gosessionid，这是一种类型的“会话劫持”。在goserver看来，它从http请求中得到了一个gosessionid，由于HTTP协议的无状态性，它无法得知这个gosessionid是从chrome那里“劫持”来的，它依然会去查找对应的session，并执行相关计算。与此同时 chrome也无法得知自己保持的会话已经被“劫持”。
-##session劫持防范
-###cookieonly和token
+## session劫持防范
+### cookieonly和token
 通过上面session劫持的简单演示可以了解到session一旦被其他人劫持，就非常危险，劫持者可以假装成被劫持者进行很多非法操作。那么如何有效的防止session劫持呢？
 
 其中一个解决方案就是sessionID的值只允许cookie设置，而不是通过URL重置方式设置，同时设置cookie的httponly为true,这个属性是设置是否可通过客户端脚本访问这个设置的cookie，第一这个可以防止这个cookie被XSS读取从而引起session劫持，第二cookie设置不会像URL重置方式那么容易获取sessionID。
@@ -59,7 +59,7 @@ count.gtpl的代码如下所示：
 	sess.Set("token",token)
 	
 
-###间隔生成新的SID
+### 间隔生成新的SID
 还有一个解决方案就是，我们给session额外设置一个创建时间的值，一旦过了一定的时间，我们销毁这个sessionID，重新生成新的session，这样可以一定程度上防止session劫持的问题。
 
 	createtime := sess.Get("createtime")