我们有一个外部应用程序,由外部安全公司进行了渗透测试。该应用程序是在ASP.NET MVC4上开发,运行在IIS8 / Windows 2012 Server上。
报告中报告的漏洞之一是ASPXAUTH不安全。当我在cookie检查器上检查时,有一些带有安全标志的cookie。但是ASPXAUTH不是其中之一。
我进行了一些研究,并在web.config上设置了以下这些标志。
<forms loginUrl="~/Account/Login" timeout="2880" requireSSL="" name="AppName" />
和
<httpCookies httpOnlyCookies="true" requireSSL="true" />
尽管设置了这些选项,但身份验证Cookie未标记为安全。我认为这些标志足以将应用程序Cookie标记为安全,但还有一些其他Cookie也未标记为安全。我对它们不太担心,因为它们不包含任何敏感信息。但我希望将ASPXAUTH标记为安全。
我的问题是:
- 在web.config上设置了这些标志,如果ASPXAUTH没有安全标志,会存在安全问题吗?
- 如果存在安全问题,您能告诉我标记为安全的正确方法吗?
谢谢。