ASP.NET MVC 4应用程序中的Cookie随机性较低

Question

我使用C＃和ASP.NET MCV4开发了一个应用程序。 在IIS中，将其设置为使用仅使用Kerberos提供程序的Windows身份验证。

我使用Burp Suite在登录页面上针对不良cookie随机性进行测试。 选择图片中的选定文本来测试20k请求期间变量的变化量。

结果表明，估计的熵为0 –因此变量完全没有变化。

有哪些选项可以增加标题的选定部分的随机性？ 有什么通用方法可以增加cookie中存储的会话变量的随机性？

Answer 1

作为@MartinLiversage，这根本不是cookie，它是[MS-N2HT]的标头：Negotiate和Nego2 HTTP身份验证协议 ，当服务器在没有适当的身份验证数据的情况下收到对受保护对象的请求时，将使用该标头。

如您所见，在您的情况下，架构为Authenticate:Negotiate因此无需担心会暴露某些数据：

当头为“ WWW-Authenticate：negotiate”时，初始WWW-Authenticate头不携带任何身份验证数据 ； 当标头为“ WWW-Authenticate：Nego2”时，它确实会携带数据。

而且，此标头只是base64字符串，可以很容易地解密：

如何解码base64编码的字符串？

至于一般的cookie，请尝试添加一些盐并使用已实现的加密提供程序，例如RSA提供程序或其他。 给定形式的问题过于广泛，无法找到一个解决方案。