سوال: یه سوال امنیتی سایت [بایگانی]

View Full Version : سوال: یه سوال امنیتی سایت

majesticsoft

یک شنبه 28 خرداد 1391, 20:12 عصر

تصور کنین کاربر دکمه خروج از سایت رو میزنه و به صفحه اول میره.
حالا اگه دکمه back مرورگر رو بزنه دوباره میتونه به پنل کاربری دسترسی داشته باشه.
چجور از این مشکل جلوگیری میشه؟
if (Session["LoginAdmin"] == null)
{
Response.Redirect("AdminLogin.aspx");
}
چنین کدی هم تو load تمامی صفحه ها هست ولی از این مساله که گفتم جلوگیری نمیکنه

mehrzad_ali

یک شنبه 28 خرداد 1391, 23:10 عصر

توی دکمه خروج باید سشن ها رو پاک کنی اینجوری فقط میتونه صفحه رو ببینه ولی وقتی رفرش کنه خارج میشه

Session.Abandon();

mmnoody2006

دوشنبه 29 خرداد 1391, 00:42 صبح

هر کاری هم که کنی این مورد پیش میاد ولی کاربر هیچ عملی نمی تونه انجام بده فقط می تونه صفحه رو ببینه

حالا رفرش کن یا روی لینکی کلیک کنی می بینی که دوباره در حالت sing out قرار می گیره

jozef_rezaei

دوشنبه 29 خرداد 1391, 10:49 صبح

سلام دوست عزیر
شما باید اول سشن رو هنگام خروج از بین ببری
بعد در لود اون صفحه ی کنترل پنل یا مدیریتیت چک کنی اگه سشنی وجود نداشت اون رو به صفحه ی دیگری بفرستی فکر می کنم این یکی از اصولیترین روش ها باشه4
لود کردن مجدد صفحه کار درستی نیست

majesticsoft

دوشنبه 29 خرداد 1391, 11:37 صبح

تمامی سسشن ها رو پاک می کنم ولی باز............

rahmatr

دوشنبه 29 خرداد 1391, 17:45 عصر

در تمام صفحاتی که مشاهده آنها احتیاج به لاگین دارد باید :

کش سمت سرور غیر فعال باشد.
کش سمت کلاینت و مرورگر غیر فعال باشد.
مرورگر صفحه را در history خود ذخیره نکند (نکته ای که معمولا به آن توجه نمی شود).

public static void SetNoCache()
{
HttpCachePolicy cache = HttpContext.Current.Response.Cache;
cache.SetNoStore();
cache.SetNoServerCaching();
cache.SetExpires(DateTime.Now.AddDays(-1));
cache.SetCacheability(System.Web.HttpCacheability. NoCache);
}

قسمت cache.SetNoStore به مرورگر می گوید این صفحه را در history ذخیره نکن.

مطلب زیر را هم ببینید :
تفاوت no-store با no-cache در Cache-Control (http://tostring.blogfa.com/post-9.aspx)

sasanrstm

سه شنبه 30 خرداد 1391, 04:55 صبح

سلام يه كد جاوا هست ميزارم اينجا فقط تو يه صفحه امتحانش كردم تو ميتوني تو هر صفحه اي كه دوست داري bsck مرور گر بهش دسترسي نداشته باشه بزاري
آدرس صفجه اي كه اين كد اونجا بود رو هم برات ميزارم برو مطالعش كن اگه چيز ديگه اي فهميدي همينجا بيا واسه ما هم توضيح بده تا بقيه هم استفاده كنند

<SCRIPT type="text/javascript">
window.history.forward();
function noBack() { window.history.forward(); }
</SCRIPT>
</HEAD>
<BODY onload="noBack();"
onpageshow="if (event.persisted) noBack();" onunload="">

كد رو تو همون صفحه اي بزار كه مي خوائي مروگر نشون نده مثلا صفحه پروفايل يوزر
اينم آدرس همون صفحهhttp://viralpatel.net/blogs/disable-back-button-browser-javascript/

mehran_337

شنبه 18 شهریور 1391, 08:55 صبح

اگر صفحاتی که نیاز به لاگین دارند از مسترپیج الگو بگیرند ، برای چک کردن کدهایی از این قبیل آیا کفایت می کند این چنین کدهایی را در لود مسترپیج وارد کنیم یا در تک تک صفحات باید وارد کنیم؟