特权升级身份MVC5中的会话劫持

本文关键字：会话 劫持 MVC5 身份 特权 | 更新日期: 2023-09-27 18:15:10

我在我的应用程序中使用asp.net identity 2.0进行身份验证(Owin中间件)。会话劫持:当我登录身份创建asp.net . applicationcookie。然后，我复制了asp.net。ApplicationCookie价值。然后我退出了应用程序。注销后，我手动创建cookie (AspNet.ApplicationCookie)并刷新，它重定向到我的主页。

特权升级:同时，我登录作为一个用户A.I复制(AspNet.ApplicationCookie)他的cookie和我注销。用户B登录后，编辑用户B的Cookie，粘贴用户a的Cookie保存。刷新浏览器后，我可以获得UserA访问和身份验证。

当我注销时，我正在清除所有会话并删除所有cookie。即使是Asp。Net身份(Owin)生成新的asp.net。ApplicationCookie每一次。但它仍然接受旧的cookie，并给我一个访问权限。我不知道为什么?谁能告诉我如何使旧AspNet失效?注销后的ApplicationCookie。这是我在Startup.Auth.cs

中的代码
 public void ConfigureAuth(IAppBuilder app)
    {
        // Enable the application to use a cookie to store information for the signed in user
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login")
        });
        // Use a cookie to temporarily store information about a user logging in with a third party login provider
        app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);

    }

//退出代码

    public ActionResult LogOff ( )
    {
        //Delete all cookies while user log out
        string[] myCookies = Request.Cookies.AllKeys;
        foreach ( var cookies in myCookies )
        {
            Response.Cookies[ cookies ].Expires = DateTime.Now.AddDays(-1);
        }
        Request.GetOwinContext( ).Authentication.SignOut(Microsoft.AspNet.Identity.DefaultAuthenticationTypes.ApplicationCookie);
        // AuthenticationManager.SignOut( );
        Session.Clear( );
        Session.RemoveAll( );
        Session.Abandon( );
        return RedirectToAction("LoginPage", "Account");
    }

//这是我的登录控制器代码

 public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            var user = await UserManager.FindAsync(model.UserName, model.Password);
            if (user != null)
            {
                await SignInAsync(user, model.RememberMe);
                return RedirectToLocal(returnUrl);
            }
            else
            {
                ModelState.AddModelError("", "Invalid username or password.");
            }
        }
        // If we got this far, something failed, redisplay form
        return View(model);
    }

特权升级身份MVC5中的会话劫持

这是设计。允许您从多个浏览器登录，并仅在您单击"注销"的浏览器中注销，而不是所有其他浏览器。

但是在注销时，您可以更新用户的SecurityStamp，然后将安全戳验证周期设置为非常短的时间。

这将改变安全戳:

await userManager.UpdateSecurityStampAsync(user.Id);

把这个放到你的登出方法中。

在你的Startup.Auth.cs中修改UseCookieAuthentication:

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login")
    Provider = new CookieAuthenticationProvider
    {
        // Enables the application to validate the security stamp when the user logs in.
        // This is a security feature which is used when you change a password or add an external login to your account.  
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(1), // set this low enough to optimise between speed and DB performance
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)),
    }
});

这种方法的唯一缺点是——当注销过程没有执行时——什么也不会发生。当注销发生时，它将注销所有其他会话。

相关文章：