session - session 可以伪造吗？

Question

我需要检查我所有的 asp 代码以防止 SQL 注入(inject)。

我也应该检查 session 对象吗？

session 如何被劫持？

谢谢!!

Answer 1

session 可以被劫持。如果我没记错的话，Classic ASP 只支持基于 cookie 的 session 标识符。如果有人能够窃取该 cookie(窃听)，那么他们可以获得与合法用户相同的 session 。

你也应该检查 session 对象吗？那要看。如果您可以确保存储在 session 中的所有对象都是“安全的”(输入已被清理)，那么您可以跳过 session 对象。如果您在应用程序的某个地方从不安全的来源获取数据并将其放入 Session 对象中，那么您也必须检查它。