Cookie dan sesi untuk ASP.NET
high5 titik pemeriksaan
Cookie sesi adalah kunci akun. Atribut yang hilang mengubah satu celah XSS menjadi pengambilalihan akun penuh.
Yang harus ada di ASP.NET
- Atribut Secure pada setiap cookie
- HttpOnly pada cookie sesi
- SameSite=Lax atau Strict pada cookie sesi
- Tidak ada ID sesi di URL atau localStorage
- Rotasi sesi setelah login dan invalidasi saat logout
Cara memperbaiki
- 1Set atribut cookie di level framework agar semua cookie mewarisinya
- 2Pindahkan token dari localStorage ke cookie HttpOnly
Konteks ASP.NET
Microsoft web framework running on IIS or Kestrel with the .NET runtime.
Watch ViewState MAC, elmah.axd/trace.axd exposure and outdated .NET Framework versions.