asp.net – Cookiless Session是安全隐患吗？

发布时间：2020-12-16 06:43:02 所属栏目：asp.Net 来源：网络整理

导读：http://msdn.microsoft.com/en-us/library/aa479314.aspx 您有一个用户从Cyber??cafe中的计算机成功登录,Hacker H能够嗅探网络并获取用户的sessionID,是否可以使用sessionId并充当来自另一台计算机的用户？ H可以输入http：//文件夹/(会话ID)/CreditCardInfo

http://msdn.microsoft.com/en-us/library/aa479314.aspx

您有一个用户从Cyber??cafe中的计算机成功登录,Hacker H能够嗅探网络并获取用户的sessionID,是否可以使用sessionId并充当来自另一台计算机的用户？

H可以输入http：//文件夹/(会话ID)/CreditCardInformation.aspx来了解用户的信用卡号吗？

解决方法

我有点担心没有人列出这两次攻击：

1)Session Fixation
黑客访问您的网站并获取其中一个会话网址.然后,他向可能的用户发送了许多欺骗性电子邮件,使其看起来好像来自您的网站.电子邮件要求登录,攻击者会给他们一个会话URL.然后,攻击者定期检查会话URL以查看是否有人进行了身份验证.如果他们有,那么攻击成功,黑客只是偷了一个帐户.解决此问题的方法是在创建时将用户的ip地址存储在会话变量中,并针对每个请求进行检查.如果您只通过Cookie传递会话ID,则攻击者无法在另一个浏览器上为他无法控制的域设置cookie值,因此无法执行此攻击.

2)打印机：
有时人们会从网站上打印一个页面.曾经看过从网站打印过的页面的最底部吗？好吧,通常页面的URL就在那里.如果您打印一个页面,然后将其交给某人,就好像您刚刚写下了您的用户名/密码并将其交给了他们.

不惜一切代价避免使用会话网址.

在整个会话中使用SSL.如果不这样做,那么你将泄露会话ID(如果你使用的是cookie,那就是这样！).这种ssl的使用明确要求A3“破解认证和会话管理”OWASP top 10 for 2010.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!