एएसपी.NET बाहरी रूप से बनाए गए सत्र पहचानकर्ताओं को क्यों स्वीकार कर रहा है?

Question

मेरे पास मानक एसक्यूएल सदस्यता प्रदाता का उपयोग कर एएसपी.NET 3.5 वेब साइट है।

आवेदन को धक्का देने से पहले आवेदन को आईबीएम तर्कसंगत ऐपस्कैन पास करना होगा।
गंभीरता:: उच्च
टेस्ट प्रकार: आवेदन
कमजोर यूआरएल: http://mytestserver/myapp/login.aspx
उपचार कार्य: स्वीकार न करें बाह्य बनाया सत्र पहचानकर्ता

मैं क्या कर सकता

मैं त्रुटि हो रही है इसे ठीक करने के लिए?

मैं एसक्यूएल सदस्यता प्रदाता का उपयोग कर रहा हूं। क्या यह संबंधित है? मैं मानक लॉगिन नियंत्रण भी उपयोग कर रहा हूं। मेरे पास "मुझे याद रखें" बंद कर दिया गया है, और छुपा हुआ है।

धन्यवाद।

Answer 1

यह एक भेद्यता नहीं है (और मुझे वास्तव में इसके झूठी सकारात्मक के कारण ऐपस्कैन पसंद नहीं है es - सीएसआरएफ कुकीज़ को समझाने के लिए मुझे कितनी बार अपनी छोटी ओपन सोर्स प्रोजेक्ट पर एक सत्र से जोड़ा जाना जरूरी नहीं है)।

इस मामले में जो कुछ भी होगा, वह पहली बार किसी सत्र सत्र पहचानकर्ता के साथ सत्र स्थिति में संग्रहीत होता है, सर्वर पर एक नया सत्र खोला जाएगा, इसमें कुछ भी नहीं होगा। यदि आप सत्र निर्धारण के बारे में चिंतित हैं तो आप प्रमाणीकरण के बाद कुकी को साफ़ कर सकते हैं।

Session.Abandon(); 
Response.Cookies.Add(new HttpCookie("ASP.NET_SessionId", "")); 

लेकिन फॉर्म प्रमाणीकरण के साथ प्रमाणीकरण विवरण सत्र में नहीं होते हैं और इसलिए निर्धारण कोई समस्या नहीं है।

स्पष्ट रूप से यदि आप किसी भी मूल्यांकन के बिना सुरक्षा स्कैन पास कर सकते हैं तो परिणाम झूठी सकारात्मक नहीं हैं, तो यह एक पूरी तरह से अलग समस्या है।

Answer 2

आप को आप अनुप्रयोग

एक अद्वितीय कुकी पथ सेट करने का प्रयास अद्वितीय होना डिफ़ॉल्ट कुकी सेटिंग में बदलाव करने की आवश्यकता हो सकती:

<forms name="YourAppName" 
     path="/FormsAuth" ... /> 

http://msdn.microsoft.com/en-us/library/ms998310.aspx#paght000012_additionalconsiderations

अधिक पढ़ने ... http://msdn.microsoft.com/en-us/library/ms998258.aspx

Answer 3

ऐसा लगता है कि RegenerateExpiredSessionId संपत्ति इस पर नियंत्रण कर रही है। इसे सही पर सेट करें। समय-समय पर कम मूल्य पर रखें, उपयोगकर्ताओं द्वारा सबसे स्वीकार्य स्वीकार्य (उदा। 10 - 15 मिनट)।