Q

ColdFusion 9，会话ID可预测性

2014-04-22 30 views 1 likes

1

我继承了一个使用ColdFusion 9.0.2的网站。扫描仪会报告可预测的Cookie会话ID。对此的修复应该是检查“使用UUID for cftoken”。这已经被检查过，但它仍然是一个问题。有没有人遇到过这个？有谁知道如何在CFADMIN或CF代码中解决这个问题？ColdFusion 9，会话ID可预测性

2014-04-22 Joe

+2

[阅读查理Arehart这个博客帖子（HTTP：//www.carehart。 org/blog/client/index.cfm/2013/7/10/uuid_for_cftoken_does_not_block_simple_cftokens） –

+0

我将为此网站使用J2EE会话。感谢所有的反馈。 – Joe

A

回答

1

您的扫描仪抱怨的内容很可能是CFID，而不是CFTOKEN。

参见：How do I secure CFID for PCI compliance?

2014-04-22 20:01:35 Henry

1

我的建议是设置会话管理使用JSESSIONID。

http://help.adobe.com/en_US/ColdFusion/9.0/Developing/WSc3ff6d0ea77859461172e0811cbec22c24-7c48.html

作为额外的奖励，你可以在使用JSESSIONID序列化会话数据。这对您而言可能并不重要，但您的基本问题应该通过在ColdFusion管理器中切换到J2EE会话来解决。

您可能还想考虑转移到ColdFusion 10或Railo以利用HTTPOnly Cookie（使用Javascript无法读取），使用cookie上的安全标志和登录后使用SessionRotate（）来防止会话固定。

http://www.adobe.com/devnet/coldfusion/articles/security-improvements.html

皮特·弗赖塔格的博客提醒我，CF 9.01及更高版本，可以设置用java参数传递给使用中HTTPOnly会话cookie标记，也可以使用setClientCookies =假。作为@Henry指出的那样，你需要做的的事情之一摆脱CFID和CFTOKEN创造的：

http://www.petefreitag.com/item/764.cfm

2014-04-22 21:05:07

+0

可能无法正常工作，请参阅http://stackoverflow.com/a/9943396/35634 – Henry

+1

在Application.cfc设置中，使用setClientCookies ='no'来防止设置CFID和CFToken。 –

相关问题