在Asp.NET中黑客会话变量

Question

是否有可能破解某人的会话变量并创建一个新的影子用户？

避免这种过度刺激的常见方法有哪些？

SSL证书安装还是......？

Answer 1

简短回答......这取决于.

ASP.NET中的会话可以以多种方式存储(InProc/SQL Server/State Server)等...另外需要注意的是如何维护客户端会话(查询字符串值,cookie等...)

正如这个答案中的海报所示

在对Session进行身份验证并将其名称存储在Session中时,您可以做的一件事就是存储一些有关它们的其他信息.例如,他们的UserAgentString,他们的IP地址,如果不同的IP或UserAgentString尝试与会话交互,您可以使其无效.

一件事:存储IP以防止会话是好的,但不是万无一失的,问题是会话黑客的常见形式是针对同一IP组内的某个人(即在公司或AOL内).对UserAgent也有类似的担忧(只有更高的通用性!) (2认同)