会话可以被伪造吗？

Question

我需要检查所有的asp代码以防止SQL注入.

我也应该查看会话对象吗？

会话如何被劫持？

谢谢!!

Answer 1

会话可能被劫持。如果我没记错的话，Classic ASP 仅支持基于 cookie 的会话标识符。如果有人能够窃取该 cookie（窃听），那么他们可以获得与合法用户相同的会话。

您也应该检查会话对象吗？那要看。如果您可以确保会话中存储的所有对象都是“安全的”（输入已被清理），那么您可以跳过会话对象。如果您的应用程序中的某个地方从不安全的来源获取数据并将其放入 Session 对象中，那么您也必须检查它。