asp.net - ASP.NET 中的 session 劫持保护

Question

我想了解当前版本的 ASP.NET 中内置了哪些 session ID 劫持保护。

我最近看到 this very informative article这解释了如何通过实现将 IP 地址和用户代理 header 编码到 session ID 中的附加层来增强 session 安全性。然后在每个后续请求中验证这些详细信息。

这篇文章似乎是为 ASP.NET 1.1 编写的，所以我想知道现在是否内置了类似的东西到 ASP.NET 中。实现这样一个附加层还有什么好处吗？

谢谢。

Answer 1

从 session 概述文档中查看此片段:

System.Web.SessionState.HttpSessionState.SessionID 值以明文形式发送，无论是作为 cookie 还是作为 URL 的一部分。恶意用户可以通过获取 SessionID 值并将其包含在对服务器的请求中来访问另一个用户的 session 。如果您在 session 状态下存储敏感信息，建议您使用 SSL 来加密浏览器和服务器之间包含 SessionID 值的任何通信。

http://msdn.microsoft.com/en-us/library/ms178581.aspx

在我看来，这意味着 Session 中没有安全措施，因此您可能不应该使用 Session 作为安全措施。相反，我建议依靠 ASP.NET 安全性(身份验证、授权)。

这是来自 Patterns & Practices 组的一篇关于 ASP.NET 的一般安全建议的文章。

http://msdn.microsoft.com/en-us/library/ff649100.aspx