Предотвращения фиксации сессии в Java

У меня есть веб-приложение, написанное на java. Мы не используем сеансы в процессе аутентификации. Было запущено сканирование приложения, и было обнаружено, что у нас есть возможность атаки фиксации сеанса. Мне интересно, когда мы не используем сеанс, как вы исправляете или предотвращаете фиксацию сеанса? Вот что сообщает отчет о сканировании FORTIFY 

The following changes were applied to the original request:
• Added parameter 'Cookie_abcxyz.com-443' with the following value 'R3777273810'
• Removed cookie 'Cookie_abcxyz.com-443'

Request/Response:
GET / HTTP/1.1
Content-Length: 43
Accept: */*
Accept-Language: en-US
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Win32)
Host: myportal.abcxyz.com
Cookie_abcxyz.com-443=R3777273810
HTTP/1.1 200 OK
Set-Cookie: Cookie_abcxyz.com-443=R3777273810; path=/
Content-Length: 11211
Date: Mon, 13 Feb 2012 17:08:14 GMT
Server: abcxyz
Cache-Control: no-cache
Content-type: text/html
1 2
session-fixation

1 ответ:

Мы не используем сеансы в процессе аутентификации.... Мне интересно когда мы не используем сеанс

Это не имеет значения. Я предполагаю, что вы используете управление сеансами для вашего сервера.Этот отчет об ошибке указывает на то, что вы не проверяете строку запроса для идентификаторов сеанса.
Проверьте здесь некоторые примеры того, как вы можете быть атакованы: фиксация сеанса

Обновление:
Я подозревал, что вы не использовали стандартный контейнер.Я не могу скажу вам, что вы на самом деле должны сделать, так как вы не поставили никакого кода, но из вашего описания и того факта, что вы получили отчет о такой находке, проблема заключается в том, что вы разрешаете переписывать URL, и злоумышленник может использовать его для "кражи" сеанса, передавая известный идентификатор сеанса.
В общем, то, что вы должны сделать, это после того, как пользователь вошел в систему, а затем аннулировать текущую сессию и создать новую на spot.As в результате уже "украденный" id не может быть использован повторно.

И поскольку информация, которую вы предоставляете в сообщении, настолько мала, вам следует потратить некоторое время на изучение некоторых из следующих элементов, чтобы определить ту часть вашего кода, которая находится в проблеме:
ОВАСП 1
ОВАСП 2
ОВАСП 3
Java Secure session SO
и жерех тоже
Интересная статья по фиксации сессии
некоторые утилиты HTTP от OWASP, которые вы, возможно, могли бы использовать
фиксация сессии на Java
Безопасный сеанс Управление

11