会话标识未更新java_【AppScan深入浅出】修复漏洞：会话标识未更新（中危）

关于“会话标识未更新”&＃xff0c;其实我觉得应该是颇有争议的&＃xff0c;为何登录后不更新会话标识就会存在危险&＃xff0c;是不是担心读取到旧会话中存在Session的取值呢&＃xff1f;这个恕我不懂。

关于漏洞的产生

“会话标识未更新”是中危漏洞&＃xff0c;AppScan会扫描“登录行为”前后的COOKIE&＃xff0c;其中会对其中的JSESSIONOID(JSP)或者 ASP.NET_SessionId(ASP)进行记录。在登录行为发生后&＃xff0c;如果COOKIE中这个值没有发生变化&＃xff0c;则判定为“会话标识未更新”漏洞。

修复方式

ASP的修复方法可以参考以下代码&＃xff0c;在登录按钮点击后&＃xff0c;确认登录前&＃xff0c;加入3行代码对COOKIE进行清空已达到重置SessionId的效果。

protected void btnLogin_Click(object sender, EventArgs e)

{

//重置SessionId

Session.Clear();

Session.Abandon();

Response.COOKIEs.Add(new HttpCOOKIE("ASP.NET_SessionId", ""));

//登录判断

if (check(txtName.Text,txtPassword.Text))

{

FormsAuthentication.SetAuthCOOKIE("admin", false);

Response.Redirect("Default.aspx");

}

}

AppScan中&＃xff0c;对“会话标识未更新”也提供了修改建议&＃xff1a;

一般修订建议 始终生成新的会话&＃xff0c;供用户成功认证时登录。防止用户操纵会话标识。请勿接受用户浏览器登录时所提供的会话标识

结果确认

使用代码前

使用代码后

为何会产生漏洞

有人会问这个漏洞为何会产生? 为什么有的站点会出现,有的站点没有使用代码却又不会出现。写在最后&＃xff0c;我提供一个思路&＃xff0c;这样才是深入浅出的研究问题&＃xff1a;

有时候网站登录页面&＃xff0c;并不会立刻产生SessionId&＃xff0c;例如我写的登录页面&＃xff0c;页面中是不会出现ASP.NET_SessionId&＃xff1a;(使用Chrome&＃43;Edit This COOKIE插件)

登录后才会出现ASP.NET_SessionId&＃xff0c;另一个是登录代码中增加的验证COOKIE。

但是当我在登录页加载之前&＃xff0c;添加了信息在用户Session中(例如为了添加图形验证码的需要)&＃xff0c;这时候登录页加载的时候就会产生SessionId

protected void Page_Load(object sender, EventArgs e)

{

//产生会话标识未更新漏洞

Session["useless"] &＃61; 1;

}

一旦登录前就有SessionId&＃xff0c;那么AppScan就有了可以比较的SessionId&＃xff0c;在登录后比较SessionId的变化&＃xff0c;那么也就会产生“会话标识未更新”漏洞。

写在最后的最后&＃xff0c;“会话标识未更新”的危害&＃xff0c;在于攻击者通过某种方式(如XSS)将自己的Id置入了被攻击者的浏览器&＃xff0c;将会话标识改为某个攻击者预设的值&＃xff0c;被攻击者正常登陆&＃xff0c;若服务器接收了这个预设值&＃xff0c;那么相当于攻击者获得了被攻击者登录后的权限&＃xff0c;因此才要求在登录时更新会话标识。