ASP.NET为什么接受外部创建的会话标识符？

Question

我有一个使用标准SQL成员资格提供程序的ASP.NET 3.5网站。

应用程序必须先通过IBM Rational AppScan，然后才能生产。

我收到错误：
严重性：高
测试类型：应用
弱势网址：http://mytestserver/myapp/login.aspx
整治任务：不接受外部创建的会话标识符

我能做些什么解决这个问题？

我正在使用SQL成员资格提供程序。这是相关的吗？我也使用标准登录控件。我已将“记住我”关闭并隐藏起来。

谢谢。

Answer 1

这不是一个漏洞（我真的不喜欢AppScan，因为它的假阳性es - 我必须解释CSRF cookies的次数不需要与我的小型开源项目中的会话相关联，这让人很烦恼）。

在这种情况下发生的所有事情都是第一次以会话状态存储任何事物并创建一个会话标识符，新的会话将在服务器上打开，其中没有任何内容。如果你担心会话固定，那么你可以在认证后清除cookie。

Session.Abandon(); 
Response.Cookies.Add(new HttpCookie("ASP.NET_SessionId", "")); 

但是使用表单身份验证，会话中没有保存身份验证细节，因此修复不是问题。

坦率地说，如果你必须通过安全扫描没有任何人评估，如果结果不是误报，那么这是一个完全不同的问题。

Answer 2

您可能需要更改默认Cookie设置是唯一的你应用程式

尝试设置一个唯一的Cookie路径：

<forms name="YourAppName" 
     path="/FormsAuth" ... /> 

http://msdn.microsoft.com/en-us/library/ms998310.aspx#paght000012_additionalconsiderations

多看书... http://msdn.microsoft.com/en-us/library/ms998258.aspx

Answer 3

看起来好像是RegenerateExpiredSessionId属性正在控制这个。 将其设置为true。同时保持超时和低值，用户可以接受的最严格（例如10 - 15分钟）。