使aspx身份验证cookie无效

Question

我有一个asp.net网络表单。用户进行身份验证时，它将创建一个名为.aspxauth的安全cookie。

uppon注销，我称之为这两种方法

FormsAuthentication.SignOut(); 
Session.Abandon()

问题是我们进行了渗透测试，如果我窃取了cookie，注销并手动重新插入cookie，我将再次被登录。因此，.aspauth不会使服务器端无效。

我已经用谷歌搜索了，但是找不到该安全漏洞的答案。

Answer 1

阅读这篇关于会话固定以及如何一劳永逸地摆脱它的文章：

这不是一个有效的解决方案。这里的主要问题是，用户注销后，会话 ID 在服务器端继续处于活动状态。如果攻击者有权访问 cookie（如@Yannick Richard 上面报道的那样），添加另一个具有单独“身份验证令牌”的 cookie 并不会使任何东西变得更安全。然后攻击者就可以窃取这两个 cookie，然后我们就回到第一个方格。 (2认同)