在 asp.net mvc 应用程序中防止会话劫持

Question

我们如何防止在 asp.net mvc 应用程序中的会话劫持？测试人员执行了以下步骤来劫持会话 - OWASP A2。

1. 以低权限用户身份登录。
2. 以管理员用户身份登录。 （在单独的浏览器中 - 来自同一台机器）
3. 复制了管理员用户的ASP.Net Session ID
4. 将low-prev 用户的ASP.Net Session ID 替换为admin 用户的ASP.Net Session ID。

通过上述步骤，low-prev 用户能够访问应用的管理区域。

1. 应用程序由SSL (https) 托管。
2. Cookie 已设置为 Secure 和 HttpOnly。
3. Cookie 设置为在 Session_End 和 Signout 过期。

不过，我仍然可以使用Fiddler 重现上述场景。有人可以帮助解决上述问题。

谢谢。

Answer 1

我会争辩说，如果有人能够保留 cookie，那么她应该能够登录。缓解措施应该是对敏感资源使用短期 cookie，并要求用户在执行之前重新输入她的凭据任何敏感数据。例如，设置密码、授予权限等。此外，您应该让 cookie 变得难以保持 - 看起来您已经这样做了。还值得添加 Same-Site)，并确保您的网站安全。