多數 Web 應用程式使用工作階段識別碼來識別各使用者，該識別碼通常儲存在 Cookie 中，並在伺服器與網路瀏覽器間公開傳輸。


屬性的值設定為 true 或 UseUri 時，無論瀏覽器或裝置是否支援 Cookie，應用程式都不會使用 Cookie。屬性的值設定為 AutoDetect 或 UseDeviceProfile 時，根據要求的瀏覽器或裝置的組態，不會使用 Cookie。

未在 Cookie 中儲存工作階段識別碼的應用程式，有時會傳輸識別碼做為 HTTP 要求參數或 URL 的一部份。接受 URL 中指定的工作階段識別碼，容易讓攻擊者執行 Session Fixation 攻擊。

將工作階段識別碼置於 URL，也可能會增加 Session Hijacking 對應用程式成功攻擊的機會。當攻擊者控制受害者啟用的工作階段或工作階段識別碼時，Session Hijacking 便會發生。網路伺服器、應用程式伺服器及 Web 代理伺服器通常會儲存要求的 URL，這是種常見的作法。若 URL 中包含工作階段識別碼，也會記錄這些識別碼。增加工作階段識別碼檢視及儲存位置的數量，將增加攻擊者危及這些識別碼的機會。

可以將 ASP.NET 應用程式配置為輸出追蹤除錯資訊。Trace Output 包含了發送給目前頁面的要求的詳細資訊，包括標頭資訊、使用在頁面的方法和控制，以及作用中的階段作業狀態。攻擊者可能利用這些從追蹤輸出得到的額外資訊，來發動針對架構、資料庫或應用程式所使用的其他資源的攻擊。

可藉由兩種途徑來啟用追蹤資訊，一種是在頁面層級中將 <page> 指令的 Trace 屬性設為 true，另一種是在應用程式層級中的 web.config 檔案新增一個 trace 元素，並將其 enabled 屬性設定為 true。

使用模擬憑證將允許 ASP.NET 應用程式執行其所代表用戶端的權限，或是執行其組態設定檔案所賦予的任意權限。

ASP.NET 應用程式可在 web.config 檔案中的<credentials> 元素中為 ASP.NET 應用程式儲存使用者名稱和密碼組，其支援純文字、MD5 和 SHA1 密碼格式。

以純文字方式儲存密碼或使用簡單的加密演算法，可讓任何擁有應用程式組態設定檔案存取權的人存取該密碼。這可能包括那些應用程式所寄宿的機器或者存放應用程式的原始碼儲存庫。

範例 1：以下的 web.config 項目錯誤的將其密碼以純文字方式儲存。

<configuration>
  <system.web>
    <authentication>
      <forms protection="All">
	   <credentials passwordFormat="Clear">
   		<user name="user1" password="my_password"/>
		<user name="user2" password="my_password1"/>
        </credentials>
    	 </forms>
    </authentication>
  </system.web>
</configuration>

ASP.NET 支援以 3 種格式儲存的憑證密碼，由 configuration/system.web/authentication/forms/credentials 元素中的 passwordFormat 屬性所定義。此屬性可能的值如下：

Clear - 表示密碼以純文字形式儲存 (安全程度最低)
MD5 - 表示儲存密碼的 MD5 雜湊資料
SHA1 - 表示儲存密碼的 SHA1 雜湊資料 (安全程度最高)

雖然 MD5 hash 儲存的安全性比純文字儲存高，但研究人員已發現了針對 MD5 hash 演算法的暴力攻擊方式。同時，SHA1 hash 仍然提供了防止此類攻擊的有效保護。

客戶自管金鑰未用於加密靜態資料。

依預設，如果啟用了加密，AWS 會使用 AWS 代管金鑰來加密靜態資料。客戶自管金鑰讓組織能夠使用自己選擇的加密金鑰來加密資料。這讓組織可以妥善控制和記錄加密過程。

因此，客戶自管金鑰通常會納入解決方案的一部分，可滿足包括但不限於以下需求：
- 敏感資料存取的稽核記錄
- 資料落地
- 取代、停用或銷毀金鑰

請注意，格式為 aws/service-name 的金鑰是預留給 AWS 代管金鑰使用。

寬鬆的存取組態會將系統暴露在外，並擴大組織的受攻擊面。開放與公眾互動的服務通常會受到惡意實體近乎連續的掃描和探測。

在發現並發佈針對公開服務的零時差攻擊 (例如 Heartbleed) 時問題特別大。攻擊者可主動追蹤和搜尋未修補和暴露的系統以進行攻擊。

無所克制的關鍵或敏感資源存取權，可能會以各種方式對組織產生重大影響，包括洩露或篡改關鍵資料。