asp.net

Question

में लॉगिन के बाद सत्र आईडी को कैसे बदला जाए मेरे पास एक ऐसी वेबसाइट है जो फॉर्म प्रमाणीकरण और सदस्यता का उपयोग कर रही है। उपयोगकर्ता के पास साइट का उपयोग करने के लिए कुकीज़ सक्षम होना चाहिए। मुझे कोड बदलने के लिए कहा गया है ताकि जैसे ही कोई उपयोगकर्ता लॉग इन करता है, सत्र आईडी बदल जाती है। जाहिर है, यह एक सत्र निर्धारण हमले (http://en.wikipedia.org/wiki/Session_fixation) के खिलाफ सुरक्षा करेगा। क्या कोई जानता है कि पूरे सत्र को खोए बिना मैं सत्र आईडी कैसे बदल सकता हूं? PHP को ऐसा करने के लिए एक विशिष्ट विधि है लेकिन मुझे .NET समकक्ष नहीं मिल रहा है।

Answer 1

Here's a blog post है कि इस बारे में बात करती:

ASP.NET सीधे कार्यक्षमता का समर्थन नहीं करता एक सत्र आईडी पुनर्जीवित करने के लिए। समस्या here के बारे में दस्तावेज़ देखें। ASPNET_SessionID को पर खाली स्ट्रिंग और को रीडायरेक्ट करने के लिए पर रीडायरेक्ट करने के लिए यह करने के लिए not-so quick and dirty way है।

Answer 2

मैंने Generating a new ASP.NET session in the current HTTPContext पर एक समान प्रश्न का उत्तर दिया है। मूल रूप से हमें सत्र सत्र में कुछ खोए बिना सत्र आईडी को पुन: उत्पन्न करने में सक्षम होने के लिए कुछ सत्रस्टेट मॉड्यूल आंतरिक स्थिति को बदलना होगा। मैंने _rqId फ़ील्ड को नई आईडी और _rqSessionStateNotFound को सत्य पर सेट करने के लिए प्रतिबिंब का उपयोग किया। नकारात्मकता यह है कि हमें आवेदन के लिए "पूर्ण ट्रस्ट" देना होगा।

Answer 3

यह यहाँ एक बहुत पुराने सवाल मैं पुनर्जीवित कर रहा हूँ है, लेकिन समाधान है:

var manager = new SessionIDManager(); 
bool redirected, isAdded; 
manager.SaveSessionID(System.Web.HttpContext.Current, 
    "5vonjb4mtb1of2fxvhjvkh5d", out redirected, out isAdded); 

// sessionId now equals "5vonjb4mtb1of2fxvhjvkh5d" 
var sessionId = Session.SessionID;