セッションの転送を防止する

Question

HI、

誰かがセッションを転送できないようにする良い方法はありますか？そのため、ユーザーはセッショントークンIDをあるマシンから別のマシンに移動/コピーできませんか？

ありがとうございました！

Answer 1

受信IPアドレスの文字列を暗号化してセッションに入れるのはなぜでしょうか。次に、セッションオブジェクトを操作するときに、セッションからipを復号化し、要求IPに対して有効であることを確認することによって、セッションオブジェクトを検証することができます。

単なるアイデアです。コードが必要な場合はお知らせください。

Answer 2

web.configファイルのsessionStateノードのcookieless属性をfalseに設定して、クッキーを使用してURLの代わりにセッションキーを保存するようにします。ここでは、件名に（古い）の記事のカップルです：

• Top 10 Application Security Vulnerabilities in Web.config Files
• MSDN: Understand How the ASP.NET Cookieless Feature Works

Cookieは、完全に "安全" ではありません。 google the topicをお探しの場合はsession hijackingとなります。