Asp.NETのセッション変数をハッキングする

Question

誰かのセッション変数をハックして新しいシャドウユーザーを作成することはできますか？

このような誇張を避ける一般的な方法は何ですか？

SSL証明書のインストールまたは....？

Answer 1

短い答えは...それに依存します。

ASP.NETでのセッションは、さまざまな方法（InProc/SQL Server/State Server）などで保存できます。クライアントセッションがどのようにメンテナンスされているかは、別のことです（クエリ文字列値、Cookieなど）。 。）

この答えではポスターは、ユーザーを認証し、セッション中に自分の名前を格納し、また、それらに関するいくつかの他の情報を格納することであろう時にあなたができる

Can we hack a site that just stores the username as a session variable?

一つのことを示唆しています。例えば彼らのUserAgentString、彼らのIPアドレスと異なるIPまたはUserAgentStringがセッションと対話しようとした場合、それを無効にすることができます。

Answer 2

何かが可能ですが、デフォルトでは難しいです。

一般に、セッションCookieを盗み出し、別のマシンで再作成することによってセッションをハイジャックします。しかし、これを行うには、WebサイトがCross Site Scriptingに対して脆弱でなければなりません（これは、ユーザー入力をエコーバックするときにServer.HtmlEncodeを使用して軽減できます）。もしあなたが脆弱になってしまった場合、ASP.NETセッションクッキーはHTTPのみとしてマークされます。つまり、ブラウザがサポートしていれば、クライアント側のスクリプトからアクセスすることはできません（Safariはこの設定を無視します）。