Django Bad Practices: Cookie Stored Sessions

Python

Abstract

在用户注销时，基于 Cookie 的会话不会失效。如果攻击者要查找、偷窃或拦截用户的 cookie，即使用户已经注销，他们也能模拟用户。

Explanation

在 Cookie 中存储会话数据有以下几个问题：

1. 在用户注销时，基于 Cookie 的会话不会失效。如果攻击者要查找、偷窃或拦截用户的 cookie，即使用户已经注销，他们也能模拟用户。

2. 会话 cookie 签名可避免篡改并保证数据的真实性，但这无法阻止 replay 攻击。

3. 会话数据将使用 Django 的加密签名和 SECRET_KEY 设置工具进行存储。如果 SECRET_KEY 泄露，那么攻击者不仅能伪造会话数据，如果应用程序使用 Pickle 将会话数据序列化成 cookie，攻击者还能够生成恶意 Pickle 数据，这些数据一旦反序列化即可执行任意代码。

4. 会话数据已签名但未加密。这意味着，攻击者将能够读取会话数据，但不能对其进行修改。

5. cookie 大小和序列化过程可造成性能问题，具体随站点负载而异。

References

[1] Django Foundation Using cookie-based sessions

[2] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001185

[3] Standards Mapping - General Data Protection Regulation (GDPR) Access Violation

[4] Standards Mapping - NIST Special Publication 800-53 Revision 4 AU-10 Non-Repudiation (P2), SC-23 Session Authenticity (P1)

[5] Standards Mapping - NIST Special Publication 800-53 Revision 5 AU-10 Non-Repudiation, SC-23 Session Authenticity

[6] Standards Mapping - OWASP API 2023 API5 Broken Function Level Authorization

[7] Standards Mapping - OWASP Mobile 2024 M8 Security Misconfiguration

[8] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-002240 CAT I

[9] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-002240 CAT I

[10] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-002240 CAT I

[11] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-002240 CAT I

[12] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-002240 CAT I

[13] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-002240 CAT I

[14] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-002240 CAT I

[15] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-002240 CAT I

[16] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-002240 CAT I

[17] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-002240 CAT I

[18] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-002240 CAT I

[19] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-002240 CAT I

[20] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-002240 CAT I

[21] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-000590 CAT II, APSC-DV-002240 CAT I

[22] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-000590 CAT II, APSC-DV-002240 CAT I

[23] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)

desc.structural.python.django_bad_practices_cookie_stored_sessions