防范会话劫持：保护您的ASP.NET应用程序

会话劫持的影响非常严重，攻击者可以做任何经过身份验证的用户被允许在任何网站上做的任何事情。

它是如何被利用的

以下是会话ID可能受到攻击的一些方式

1. 在安全性较低的网络上嗅探会话，
2. 中间人攻击（系统上安装的任何代理配置，例如：在Fiddler上轻松查看您的流量），
3. 从受害者机器上窃取，
4. 使用XSS攻击来警报cookie，
5. 如果使用基于URL的会话，只需从URL复制和粘贴会话ID。

ASP.NET应用程序演示

为了演示会话劫持，我使用了两个不同的浏览器（Chrome和Mozilla）
不同的程序使用不同的会话。注意：这种攻击通常发生在不同的机器上。

用户登录Chrome并生成了会话ID：（在我的例子中是Chrome）

攻击者嗅探了您的会话ID：（Mozilla）
攻击者现在登录到另一台机器并使用您的会话ID

结果

您知道会话劫持的后果。

如何防止会话劫持

以下是防止ASP.NET应用程序中会话劫持的方法

1. 这个方法的核心是生成一个哈希密钥，其中包含浏览器详细信息、浏览器版本、浏览器平台、用户身份、IP地址（附加/可选）。
并为每个GET和POST请求验证此哈希密钥。

为此，您可以使用Global.asax的Application_BeginRequest和Application_EndRequest，或者Application_AcquireRequestState。

在我的演示中，我使用了Global.asax的Begin和End请求方法。

在Application_BeginRequest中

步骤1：检查它是否是一个新会话，如果不是，则进行进一步检查
步骤2：检索ASP.NET_SessionID的值
步骤3：为这个POST/GET请求生成哈希密钥，并与之前的ASP.NET_SessionID匹配
步骤4：如果请求有效，则删除您添加到ASP.NET_SessionID中的开销（例如IP地址、浏览器版本、浏览器平台），以便应用程序能够平滑运行。

protected void Application_BeginRequest(object sender, EventArgs e)
        {
            //Check If it is a new session or not , if not then do the further checks
            if (Request.Cookies["ASP.NET_SessionId"] != null && Request.Cookies["ASP.NET_SessionId"].Value != null)
            {
                string newSessionID = Request.Cookies["ASP.NET_SessionID"].Value;
                //Check the valid length of your Generated Session ID
                if (newSessionID.Length <= 24)
                {
                    //Log the attack details here
                    Response.Cookies["TriedTohack"].Value = "True";
                    throw new HttpException("Invalid Request");
                }

                //Genrate Hash key for this User,Browser and machine and match with the Entered NewSessionID
                if (GenerateHashKey() != newSessionID.Substring(24))
                {
                    //Log the attack details here
                    Response.Cookies["TriedTohack"].Value = "True";
                    throw new HttpException("Invalid Request");
                }

                //Use the default one so application will work as usual//ASP.NET_SessionId
                Request.Cookies["ASP.NET_SessionId"].Value = Request.Cookies["ASP.NET_SessionId"].Value.Substring(0, 24);
            }

        }