c# - 使用 ASP .NET 表单例份验证，如果新的身份验证 cookie 被盗，它是否可以在另一台 PC 上使用？

Question

如果攻击者将放置在 SetAuthCookie 调用中的身份验证 cookie 从受害者 PC 复制到他们的 PC，是否会认为攻击者已通过 Web 应用程序的身份验证？

public static void SetAuthCookie(
    string userName,
    bool createPersistentCookie
)

使用标准表单例份验证 FormsAuthentication.SetAuthCookie 和参数 createPersistentCookie = false

假定此用于 Web 配置设置

<authentication mode="Forms">
    <forms name="MyWebApp" path="/" loginUrl="~/Default.aspx"
     timeout="30" defaultUrl="~/Default.aspx" protection="All"
     requireSSL="true" />       
</authentication>

Answer 1

是的； ASP.Net 不在 auth cookie 中包含 IP 地址。 (这甚至对共享 WiFi 或代理没有帮助)

但是，由于您有 requireSSL="true"，攻击者(原则上)将无法获得该 cookie。 (除非他们有权访问服务器或客户端，在这种情况下你会遇到更大的问题)

这就是您应该始终使用 SSL 的原因。