Тестеры проникновения говорят, что cookie .ASPXAUTH небезопасен и отображает данные сеанса?

Question

Я думал, что .ASPXAUTH был для аутентификации пользователя? Может ли кто-нибудь подтвердить, действительно ли этот файл cookie представляет угрозу безопасности и / или содержит информацию о сеансе? Это даже предполагается использовать или это что-то отладочное?

Answer 1

Я думаю, что вы столкнулись с некоторыми комментариями, касающимися безопасности проверки подлинности с помощью форм.Вы можете найти больше информации здесь: h ttp: //visualstudiomagazine.com/articles/2010/09/14/aspnet-security-hack.aspx

Что сводится к тому, чтоумный хакер может обнаружить машинный ключ, используемый для шифрования cookeis, и создать свои собственные поддельные cookie-файлы авторизации.