Asp.net 使用https时表单身份验证会话cookie劫持

更新

我有一个ASP.NET网站，所有页面都使用SSL

我的问题是，是否可能（实际上）有人执行表单身份验证会话cookie劫持，其中表单cookie id被泄露，并且目标用户的会话通过使用泄露的cookie id被劫持

SSL是关于加密的；这并不是为了阻止人们通过网络获取信息。换句话说，同一网络上的任何人都可以检查服务器和客户端之间的每个数据包。SSL所做的唯一一件事就是加密这些数据包中的数据，使其不能作为纯文本查看

SSL很好，但它不是万无一失的。除非你过去几个月一直生活在岩石下，否则你肯定听说过心血虫。它特别令人讨厌，因为它允许恶意用户获取SSL连接的加密密钥，然后能够对发送的数据包进行解密。不过，即使在bug出现之前，作用机制也是一个重要的考虑因素。您的SSL通信只与您的证书私钥一样安全。如果私钥被泄露，或者您允许它以某种方式泄漏，您实际上没有安全性

Cookie只是属于通过SSL连接加密的所有数据的更广泛类别的数据片段。它们的不同之处在于它们存储在客户机上，未加密。如果允许通过非安全连接（HTTP）发送cookie，那么在这种情况下数据可能会泄漏。但是，如果您在cookie上设置了

Secure

标志，则（在受支持的客户端中），只有在连接为HTTPS时，才会将其发送回服务器。始终建议您将此标志与通过HTTPS生成的任何cookie一起发送。不过，重要的是要认识到，cookie的弱点是，而且永远是客户机。如果客户端被泄露，则存储的cookie中的任何数据也会被泄露。不过，通过从不在cookie中发送任何敏感信息（例如用户名和密码），这可能导致的灾难级别在很大程度上得到了缓解

Cookie是域绑定的。这意味着不仅仅是任何人都可以要求他们；它必须是最初设置cookie的域。因此，这就留下了两个折衷点：服务器本身和客户机。如果您的服务器被破坏，暴露的cookies是您最不关心的。如果客户端的机器被破坏，那无论如何都超出了你的控制范围。这里最好的缓解因素是循环会话，正确地假设cookie中唯一出现的是会话id。换句话说，用户的会话应该在合理的时间内超时。由于恶意用户必须在客户端的cookie是新的时捕获cookie，否则被盗的数据无论如何都是无用的，因此仅此一点就使得妥协变得更加困难

SSL是关于加密的；这并不是为了阻止人们通过网络获取信息。换句话说，同一网络上的任何人都可以检查服务器和客户端之间的每个数据包。SSL所做的唯一一件事就是加密这些数据包中的数据，使其不能作为纯文本查看

SSL很好，但它不是万无一失的。除非你过去几个月一直生活在岩石下，否则你肯定听说过心血虫。它特别令人讨厌，因为它允许恶意用户获取SSL连接的加密密钥，然后能够对发送的数据包进行解密。不过，即使在bug出现之前，作用机制也是一个重要的考虑因素。您的SSL通信只与您的证书私钥一样安全。如果私钥被泄露，或者您允许它以某种方式泄漏，您实际上没有安全性

Cookie只是属于通过SSL连接加密的所有数据的更广泛类别的数据片段。它们的不同之处在于它们存储在客户机上，未加密。如果允许通过非安全连接（HTTP）发送cookie，那么在这种情况下数据可能会泄漏。但是，如果您在cookie上设置了

Secure

标志，则（在受支持的客户端中），只有在连接为HTTPS时，才会将其发送回服务器。始终建议您将此标志与通过HTTPS生成的任何cookie一起发送。不过，重要的是要认识到，cookie的弱点是，而且永远是客户机。如果客户端被泄露，则存储的cookie中的任何数据也会被泄露。不过，通过从不在cookie中发送任何敏感信息（例如用户名和密码），这可能导致的灾难级别在很大程度上得到了缓解

Cookie是域绑定的。这意味着不仅仅是任何人都可以要求他们；它必须是最初设置cookie的域。因此，这就留下了两个折衷点：服务器本身和客户机。如果您的服务器被破坏，暴露的cookies是您最不关心的。如果客户端的机器被破坏，那无论如何都超出了你的控制范围。这里最好的缓解因素是循环会话，正确地假设cookie中唯一出现的是会话id。换句话说，用户的会话应该在合理的时间内超时。由于恶意用户必须在客户端的cookie是新的时捕获cookie，否则被盗的数据无论如何都是无用的，因此仅此一点就使得妥协变得更加困难

SSL是关于加密的；这并不是为了阻止人们通过网络获取信息。换句话说，同一网络上的任何人都有可能检查发送到betwe的每个数据包