.net - 我的网站被 Statcounter 入侵了! Statcounter 是否保留 cookie 的记录？

Question

我在我的 ASP.Net MVC 网站上有一个相当有趣的黑客攻击案例。对于这个网站，我为我的管理区域实现了一个相当简单的身份验证系统——一个加密的 cookie，它具有成员的识别签名。每当管理员访问网站时，cookie 都会被解密并验证签名。如果匹配，他就不必登录。

几天前，我网站上的一位访问者告诉我，他只需点击他的 Statcounter 控制台上指向我的管理区域的推荐链接，他就可以登录我的网站(我从管理 View 中的链接访问了他的网站) )。

他只是点击了 statcounter 中的一个链接，他就以管理员身份登录了!

发生这种情况的唯一方法是 statcounter 以某种方式记录我的 cookie 并在他单击指向我的管理员的链接时使用这些 cookie!

这是合乎逻辑的还是深奥的？

我不明白发生了什么。对于如何保护我的网站免受此类事件的侵害，您有什么建议吗？

更新 :我创建了一个 IP 地址白名单系统来保护我的管理员免受未经授权的访问。基本上，服务器现在会将访问者的 IP 地址与白名单进行比较，并且仅当 IP 地址在该列表中时才允许访问。它还支持通配符，因此即使对于动态 IP 地址也可以。

虽然它不是万无一失的，但它占用了许多安全性。

Answer 1

我不知道你是如何在你的网站上进行身份验证的，但我就是这样做的，我不认为任何人都可以破坏这个:

var authTicket = new FormsAuthenticationTicket(
          1,
          userName,  //user id
          DateTime.Now,
          DateTime.Now.AddMinutes(20),  // expiry
          createPersistentCookie, 
          null,
          "/");

        var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(authTicket));

        HttpContext.Current.Response.Cookies.Add(cookie);

这使用 FormsAuthentication 并使用您的 machine.config 中的 key 加密 cookie