Поставщик членства asp.net скомпрометирован? - PullRequest
Новая
       12

Поставщик членства asp.net скомпрометирован?

1 голос
/ 23 марта 2009

Я использую стандартный готовый поставщик членства в aspnet, и у меня есть следующие настройки в файле web.config: 

<anonymousIdentification enabled="false"/>
<authentication mode="Forms">
    <forms cookieless="AutoDetect" loginUrl="~/XXXX.aspx" name="XXXXAuth" slidingExpiration="true" timeout="432000"/>
</authentication>
...
<membership defaultProvider="XXXMembershipProvider">
    <providers>
        <add name="XXXMembershipProvider" type="System.Web.Security.SqlMembershipProvider" applicationName="XXX" connectionStringName="XXX" enablePasswordRetrieval="false" enablePasswordReset="true" requiresQuestionAndAnswer="false" requiresUniqueEmail="true" minRequiredPasswordLength="5" minRequiredNonalphanumericCharacters="0" passwordFormat="Hashed" maxInvalidPasswordAttempts="5" passwordAttemptWindow="10" passwordStrengthRegularExpression=""/>
    </providers>
</membership>

Сегодня у меня возникла проблема, когда пользователь сообщил, что он зашел в систему и заметил, что на сайте говорится, что он уже вошел в систему как совершенно другой пользователь. После обращения к обоим пользователям оказывается, что ни один из них не получает доступ к сайту с общего компьютера. Ни одна из данных аккаунта не показывает никаких признаков взлома в базе данных.

Размещается на двух веб-серверах за балансировщиком нагрузки. Архитектура базы данных - это один сервер для чтения, один для записи с репликацией, поддерживающий их синхронизацию.

Кто-нибудь знает, что могло вызвать это?

Ответы [ 2 ]

1 голос
/ 27 мая 2009

Мне интересно, насколько умен балансировщик нагрузки и кеширует ли он страницы.

Файл cookie членства заблокирован, поэтому весьма сомнительно, что он был взломан. Если балансировщик нагрузки также кэшируется, он может не передавать запрос.

1 голос
/ 23 марта 2009

Опция, которая может сделать это, - cookieless = AutoDetect. Если браузер одного пользователя не поддерживает куки, asp.net вставит зашифрованный билет аутентификации в URL. Если пользователь случайно поделился ссылкой с другой или менее непосредственно разместил ее на форуме, он (и) предоставляет непреднамеренный доступ к своей учетной записи.

...