Question

我在我的应用程序中使用asp.net identity 2.0进行身份验证（Owin中间件）。会话劫持：当我登录Identity创建AspNet.ApplicationCookie.then时，我复制了AspNet.ApplicationCookie值。然后我从应用程序注销。登出后，我手动创建cookie（AspNet.ApplicationCookie）并进行刷新它重定向我的主页。 / p>

特权升级：同时我作为用户AI复制（AspNet.ApplicationCookie）登录了他的cookie并且我登出了。我以用户BI身份登录后正在编辑用户B Cookie并粘贴用户A cookie并保存它。我刷新后浏览器我可以获得UserA访问和身份验证。

我正在清除所有会话并删除所有cookie当我退出.Even Asp.Net身份（Owin）每次都会生成新的AspNet.ApplicationCookie。但它仍然接受旧的cookie并给我一个访问权限。我不知道为什么？任何人都可以告诉我如何在注销后使旧的AspNet.ApplicationCookie无效。这是我在Startup.Auth.cs中的代码

 public void ConfigureAuth(IAppBuilder app)
    {
        // Enable the application to use a cookie to store information for the signed in user
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login")
        });
        // Use a cookie to temporarily store information about a user logging in with a third party login provider
        app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);


    }

//这是注销码

    public ActionResult LogOff ( )
    {
        //Delete all cookies while user log out
        string[] myCookies = Request.Cookies.AllKeys;
        foreach ( var cookies in myCookies )
        {
            Response.Cookies[ cookies ].Expires = DateTime.Now.AddDays(-1);

        }
        Request.GetOwinContext( ).Authentication.SignOut(Microsoft.AspNet.Identity.DefaultAuthenticationTypes.ApplicationCookie);

        // AuthenticationManager.SignOut( );
        Session.Clear( );
        Session.RemoveAll( );
        Session.Abandon( );
        return RedirectToAction("LoginPage", "Account");
    }

//这是我的登录控制器代码

 public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            var user = await UserManager.FindAsync(model.UserName, model.Password);
            if (user != null)
            {
                await SignInAsync(user, model.RememberMe);
                return RedirectToLocal(returnUrl);
            }
            else
            {
                ModelState.AddModelError("", "Invalid username or password.");
            }
        }

        // If we got this far, something failed, redisplay form
        return View(model);
    }

Answer 1

这是设计的。允许您从多个浏览器登录并仅在您单击“注销”的浏览器中注销，而不是所有其他浏览器。

但是在注销时，您可以更新用户的SecurityStamp，然后在非常短的时间内设置安全标记验证期。

这会改变安全标记：

await userManager.UpdateSecurityStampAsync(user.Id);

将其放入您的退出方法中。

以这种方式Startup.Auth.cs修改UseCookieAuthentication：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login")
    Provider = new CookieAuthenticationProvider
    {
        // Enables the application to validate the security stamp when the user logs in.
        // This is a security feature which is used when you change a password or add an external login to your account.  
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(1), // set this low enough to optimise between speed and DB performance
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)),
    }
});

这种方法的唯一缺点 - 当没有执行注销程序时 - 没有任何反应。当注销发生时，它会注销所有其他会话。

特权升级＆amp;身份MVC5中的会话劫持

1 个答案: