ASP.NET MVC Application中如何处理ASP.NET_SessionId Cookie

Question

我有 Asp.NET MVC 应用程序，它在安全 ID 和密码身份验证后登录。

登录后，当我 go 到 Web 浏览器中的开发人员工具并复制 ASP.NET_SessionId Cookie 并将其粘贴到另一个浏览器中而无需使用 ID 和密码登录时，它会登录。

这个 cookie 是在哪里创建的？ 我该如何处理这个漏洞？

Answer 1

您正在描述“会话劫持”

您应该确保 ASP.net 需要 https，并且客户端脚本无法访问 cookies，方法是将其添加到 web.config

<httpCookies httpOnlyCookies="true" requireSSL="true" />

您还可以实现类似于本文中的 SecureSessionModule 的东西，它会生成一些额外的措施

注意注意事项

https://learn.microsoft.com/en-us/archive/msdn-magazine/2004/august/wicked-code-foiling-session-hijacking-attempts