【异常】解决springboot项目shiro框架下的AppScan漏洞会话标识未更新问题

最近做的一个springboot项目 + shiro框架，在做安全漏洞检查时爆出了一个安全漏洞：会话标识未更新。用的扫描工具是IBM的AppScan。

要解决会话标识未更新的安全问题，就需要在做登录验证时生成新的session，所以需要先将原来的session失效。  

一般的解决方法如下：

publicvoidlogin(HttpServletRequestrequest, ...){
// 让旧session失效request.getSession(true).invalidate();
//登录验证    }

还有一种方案：

在登录页面上加上一段代码：request.getSession().invalidate();//清空sessionCookiecookie=request.getCookies()0;//获取cookiecookie.setMaxAge(0);//让cookie过期

然后用户再输入信息登录时，就会产生一个新的session了。

--------------------------------------------------------------------------------------------------------

但是，如果使用了shiro框架，这样做会报错：...httpSession has been already invalidated。原因是shiro对HttpSession进行了一层包装，你直接让原生的session失效，没有通知shiro，shiro再去使用session时就会报错了。

最终的解决方法，不要使用原生的失效方法，而是使用shiro自己提供的api方法：

SecurityUtils.getSubject().logout();

最终方案如下：

publicMap<String, Object>login(HttpServletRequestrequest, Stringusername, Stringpassword) {
// 让旧session失效，这一句代码一定要放在登录验证的最前面SecurityUtils.getSubject().logout();
// 登录验证        ......
    }

本次针对 Appscan漏洞 会话标识未更新进行总结，如下：

1.1、攻击原理

在认证用户或者以其他方式建立新用户会话时，如果不使任何现有会话标识失效，攻击者就有机会窃取已认证的会话，此漏洞可结合XSS获取用户会话对系统发起登录过程攻击。

1.2、APPSCAN测试过程

AppScan会扫描“登录行为”前后的Cookie，其中会对其中的会话信息进行记录，在登录行为发生后，如果cookie中这个值没有发生变化，则判定为“会话标识未更新”漏洞。

1.3、修复建议（目前只是Apache Shiro安全框架下的修复建议）

若使用的是Apache Shiro安全框架，可使用SecurityUtils.getSubject().logout()方法,参考：http://blog.csdn.net/yycdaizi/article/details/45013397

本文首发于CSDN，为博主原创文章，如果需要转载，请注明出处，谢谢！

完结！