asp.net - 无 Cookie session 是否存在安全风险？

Question

http://msdn.microsoft.com/en-us/library/aa479314.aspx

您有一个用户从网吧的一台机器上成功登录，黑客H能够嗅探网络并获取该用户的sessionID，H能否使用该sessionId并充当另一台机器上的用户？

H可以输入http://folder/(session id)/CreditCardInformation.aspx知道用户的信用卡号吗？

Answer 1

这取决于很多因素。

基本上，是的，如果你知道一个 URL，你就可以看到后面的内容。一旦黑客获得了 session ID，他/她就可以为所欲为。

如果黑客有权访问 http 流，则基于 cookie 的 session ID 也可能被黑客拦截。

尽管如此，还可以采取一些额外的保障措施。例如:

• ( session ID)只能在短时间内有效
• ( session ID)仅对特定 IP(创建 session 的 IP)有效
• ( session ID)仅对特定用户代理/Flash 版本/.. 签名有效
• ( session ID)可以针对每个新页面 View 进行更改，从而弃用之前的 session_id

处理信用卡信息时，

1. 始终使用 https。它更安全，因为数据至少在浏览器和通往服务器的路由上的第一个 https 代理之间进行了加密
2. 您需要亲自操作信用卡信息的情况很少见。如今自行处理信用卡的网站越来越被迫尊重PCI/DSS规则可能会成为相当大的负担。您可能应该与银行解决方案签订契约(Contract)，其中信用卡将在其网页上提交，或者使用 Paypal 等。
3. 除非您拥有必要的安全解决方案并定期进行外部审核，否则切勿将信用卡信息保留在您的数据库中。

以下link可能会让您进一步了解 session ID 最佳实践。

希望这对你有帮助杰罗姆·瓦格纳