AppScan 会话标识未更新 处理方案

最新推荐文章于 2024-08-12 17:21:32 发布
最新推荐文章于 2024-08-12 17:21:32 发布
阅读量1.1k 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_28917853/article/details/88710589
版权

之前是采用了百度到的 session.Abandon的方式但是客户网络环境的问题  会在内网情况下 莫名其妙导致session丢失 取消这个标记后 ，会导致通不过机器扫描，然后采用了https://bbs.csdn.net/topics/390072229此问题的 happylm88 的回复

response.Cookies["ASP.NET_SessionId"].Expires = System.DateTime.Now.AddDays(-1); 直接设置旧session过期 就可以了  abandon是通过直接取消 会话会有个end操作  导致可能该页面session全部失效。

八音初穗
关注
会话标识未更新问题
yutan_313的专栏
03-19 1万+
<br /> 有一段时间没有上CSDN了，今天看到有好几个网友问我“会话标示未更新问题”，以下是我的解决办法。<br /> 我的系统在做AppScan安全扫描时，爆出一个高危漏洞：会话标识未更新。提供的解决办法是，在用户登录时始终使用新的会话。<br /> 我仔细查看了我的系统。原来在用户进入登录页面，但还未登录时，就已经产生了一个session，用户输入信息，登录以后，session的id不会改变，也就是说还是以前的那个session（事实上session也确实不
Web安全术语——摘自IBM AppScan的帮助文档
x7rslt的博客
06-07 1237
使用AppScan安全扫描时，翻看帮助（F1）找到的这个术语表。文档中提到很多Web相关的名词，有助于认识大多数的安全类英文词组，了解最基本的意思。（建议多阅读官方文档，经常会有意外收获）本术语表说明在 AppScan® Standard 用户界面和文档中使用的术语和首字母缩略词。〔A〕安全风险 (security risk)威胁的潜在成功机会和可能继而发生的损害。安全审计 (security a...
AppScan安全扫描：会话标识未更新
爱兰河少
01-30 1344
    会话标识未更新：在登录页面中存在一个动态的验证码，这个验证码每次获取后会存放于客户端的session中，而若登录失败后会再次跳回到登录页面，而在AppScan做安全扫描时就会误认为因该是新的请求会话，而新的会话则需要用新的Session（sessionId不一样即可），而我们很多时候登录失败后的错误提示信息会封装到session中，这样会方便前台直接读取，因此就会导致会话标识未更新的安全问...
Appscan 检测到其已不在会话环境中，请重新登录
最新发布
weixin_42532350的博客
08-12 326
在扫描含验证码的系统时，往往会提示“会话已过期”、“检测到其已不再会话环境中”、“请重新登录”等。遇到这种情况，我们可以通过——绕过会话检测的方式进行操作。在浏览器输入被测地址，回车进入页面，返回appscan查看是否连接上。继续进行，登录操作，手动探索被测页面，完成后点击【停止记录】，保存。5、根据实际情况，选择【开始完全扫描】或【仅测试】4、进入火狐浏览器，【设置】——【网络设置】2、扫描配置向导——【我将稍后启动扫描】3、手动探索——外部客户机——其他。配置代理地址及端口号，保存。
[AppScan深入浅出]修复漏洞：会话标识未更新
xiaomin1991222的专栏
11-27 280
“会话标识未更新”是中危漏洞，AppScan会扫描“登录行为”前后的Cookie，其中会对其中的JSESSIONOID（JSP）或者 ASP.NET_SessionId（ASP）进行记录。在登录行为发生后，如果cookie中这个值没有发生变化，则判定为“会话标识未更新”漏洞。   解决： 在登录页面上加上一段代码： request.getSession().invalidate();//清...
【AppScan深入浅出】修复漏洞：会话标识未更新（中危）
编程的世界
08-31 3848
关于“会话标识未更新”，其实我觉得应该是颇有争议的，为何登录后不更新会话标识就会存在危险，是不是担心读取到旧会话中存在Session的取值呢？这个恕我不懂。   关于漏洞的产生 “会话标识未更新”是中危漏洞，AppScan会扫描“登录行为”前后的Cookie，其中会对其中的JSESSIONOID（JSP）或者 ASP.NET_SessionId（ASP）进行记录。在登录行为发生后
AppScan安全测试常见Bug及修复策略
- 问题：登录时未正确更新会话标识，可能被攻击者利用。 - 严重性：高，强调安全性，应确保用户登录后使用新的会话。 - 解决方案：在用户登录时，清空并创建新的session，如使用`invalidate()`和清除Cookie来实现...
appScan安全扫描常见问题解决
热门推荐
qq_30684681的博客
11-17 1万+
1、  已解密的登录请求 解决方法：确保所有登录请求都以https加密方式发送到服务器。 2、不充分帐户封锁 解决方法： 1、登录的时候密码输入次数过多时锁住用户XX时间能不能登录，增加锁的功能。 2、加入图形验证码解决暴力攻击。 3、在降级的旧加密上填充 Oracle（也称为 POODLE） 在tomcat的server.xml中添加
Security Appscan Standard 漏洞扫描及补漏洞
YouXu
03-03 4827
IBM Security Appscan 介绍 IBM Security AppScan 在应用程序开发的生命周期过程中提供安全测试， AppScan 扫描很多常规的漏洞，比如跨站脚本攻击（cross site cripting)，HTTP 响应分割（HTTP response splitting），参数篡改(Parameter Tampering)等等。
Struts2解决未更新会话标识
07-16
Struts2解决未更新会话标识
JSP用AppScan安全扫描时提示“会话标识未更新”问题的修复
chengwa9834的博客
06-09 368
我的系统在做AppScan安全扫描时，爆出一个高危 漏洞：会话标识未更新。提供的解决办法是，在用户登录时始终使用新的会话。 我仔细查看了我的系统。原来在用户进入登录页面，但还未登录时，就已经产生了一个session，用户输入信息，登录以后，...
IBM Security Appscan漏洞--会话标识未更新
YouXu
03-16 6393
可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务 “会话标识未更新”是中危漏洞，AppScan会扫描“登录行为”前后的Cookie，其中会对其中的JSESSIONOID（JSP）或者 ASP.NET_SessionId（ASP）进行记录。在登录行为发生后，如果cookie中这个值没有发生变化，则判定为“会话标识未更新”
关于AppScan安全检测会话标识未更新
y562363753的博客
08-20 4008
会话标识未更新 严重性： 中 CVSS 分数： 6.4 URL： http://119.60.12.114:18079/NXZDWRYZXJC/action/user/login 实体： login (Page) 风险： 可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查 看或变更用户记录以及执行事务 原因： Web 应用程序编程或配置不...
会话标识未更新 java_Appscan漏洞之会话标识未更新
weixin_42138703的博客
02-22 773
本次针对Appscan漏洞会话标识未更新进行总结，如下：1. 会话标识未更新1.1、攻击原理在认证用户或者以其他方式建立新用户会话时，如果不使任何现有会话标识失效，攻击者就有机会窃取已认证的会话，此漏洞可结合XSS获取用户会话对系统发起登录过程攻击。1.2、APPSCAN测试过程AppScan会扫描“登录行为”前后的Cookie，其中会对其中的会话信息进行记录，在登录行为发生后，如果cooki...
AppScan安全检测工具，检测出的问题解决
yangye1225的博客
12-29 8071
一、跨站点脚本请求编制 二、跨站点请求伪造 三、HTTP动词篡改的认证旁路
Appscan---会话标识未更新
KerryRuan的专栏
04-05 2578
会话标识未更新  严重性: 高  类型: 应用程序级别测试  WASC 威胁分类: 授权类型：会话定置  CVE 引用: 不适用  安全风险: 可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务 ---------------------------------------------------------
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值