[研究]ASP.NET WebForm 網站用 AppScan 掃描發現【加密的階段作業 (SSL) Cookie 中遺漏安全屬性】

[研究]ASP.NET WebForm 網站用 AppScan 掃描發現【加密的階段作業 (SSL) Cookie 中遺漏安全屬性】

2025-10-13

********************************************************************************

同樣是 _fbp (Cookie) 問題，可參考這篇

[研究]ASP.NET WebForm網站用AppScan掃描發現【SameSite 屬性不安全、不適當或遺漏的 Cookie】
https://shaurong.blogspot.com/2025/10/aspnet-webformappscansamesite-cookie.html

********************************************************************************

ASP.NET WebForm 網站用 AppScan 掃描發現【加密的階段作業 (SSL) Cookie 中遺漏安全屬性】，誤判？

加密的階段作業 (SSL) Cookie 中遺漏安全屬性

嚴重性： 中

CVSS 評分： 6.5

實體： _fbp (Cookie)

風險： 有可能竊取在加密階段作業期間傳送的使用者和階段作業資訊 (Cookie)

原因： Web 應用程式會透過 SSL 傳送未受保護的 Cookie

修正： 新增 'Secure' 屬性至所有機密 Cookie

推論： AppScan 發現加密階段作業 (SSL) 使用不含 "secure" 屬性的 Cookie。

原始回應

HTTP/1.1 200 OK

Cache-Control: no-cache, no-store

Pragma: no-cache

Content-Type: text/html; charset=utf-8

Expires: -1

X-Frame-Options: SAMEORIGIN

X-XSS-Protection: 1; mode=block

X-Content-Type-Options: nosniff

Referrer-Policy: no-referrer

Strict-Transport-Security: max-age=31536000

Content-Length: 15123

<!DOCTYPE html>

<html xmlns="http://www.w3.org/1999/xhtml" lang="zh-Hant">

<head><title>

********************************************************************************

你提供的訊息主要說明 AppScan 或類似工具檢測到「SameSite 屬性不安全、不適當或遺漏的機密 Cookie」，並提示可能造成 CSRF 風險。根據你貼出的原始 HTTP 回應，我注意到幾點：

1.HTTP Header 沒有 Set-Cookie 範例

• 你貼的回應裡只有一般安全相關 Header（X-Frame-Options、X-XSS-Protection、Strict-Transport-Security 等），沒有任何 Set-Cookie 項。
• → 如果 AppScan 偵測到 _fbp 或其他 cookie，但在你整個專案 source code 搜尋不到這個字串，很可能是 第三方 JavaScript（例如 Facebook Pixel 或 Google Analytics）在瀏覽器端設置的 cookie，而不是你的 ASP.NET WebForm 自己生成的。

2.SameSite 屬性缺失與 CSRF

• SameSite 屬性主要用於控制瀏覽器在跨站請求中是否傳送 cookie：
• SameSite=Lax：大部分安全跨站行為允許，例如 GET 表單提交。
• SameSite=Strict：完全阻止跨站 cookie。
• 如果沒有設置 SameSite，部分瀏覽器可能仍會傳送 cookie，這可能被 CSRF 利用。
• → 這並不表示你的網站直接有漏洞，但第三方 cookie 的缺失會被掃描工具列為「潛在風險」。

3.誤判可能性

• 若你專案中完全沒有設置 _fbp 或其他第三方 cookie 的程式碼，且 HTTP Response 也沒有 Set-Cookie，那麼 AppScan 很可能 把第三方 cookie 的警告當成你的程式問題。
• 這在實務上屬於 誤判，前提是你確定自己沒有生成該 cookie，也沒有敏感資料存放在它上面。

建議處理方式：

• 在 AppScan 報告中註明「檢測到的 cookie 來自第三方服務，非本網站程式生成，屬誤判」。
• 如果想進一步降低 CSRF 風險：
• 確保你自己生成的敏感 cookie（登入憑證、SessionID）有 HttpOnly; Secure; SameSite=Lax/Strict。
• 對重要表單使用 Anti-CSRF Token。

💡 總結：

• 沒有在你的程式碼或 HTTP Header 找到問題 cookie → 可視為 AppScan 誤判。
• 若要安全，可檢查第三方服務的 cookie 設定，但通常不直接影響你的網站核心安全。

********************************************************************************

Web.Config 有設定 SameSite ，以整個專案 Source Code 搜尋不到 _fbp 字串，當作 AppScan 誤判證據可以嗎 ? 

ChatGPT

可以，而且你的情況其實更明確支持「誤判」的結論。分析如下：

1️⃣ 判斷依據

1.Web.Config 已設定 SameSite

• 代表你自己網站生成的 cookie（例如 Session、驗證票證）已正確設置 SameSite 屬性。
• 這符合 CSRF 防護最佳實務。

2.整個專案 Source Code 搜尋不到 _fbp

• _fbp cookie 是第三方服務（例如 Facebook Pixel）生成的，不屬於你的程式。
• AppScan 可能誤將第三方 cookie 列為「機密 cookie SameSite 遺漏」，這是常見的 偵測誤判。

3.HTTP Response Header 沒有 Set-Cookie: _fbp

• 進一步證明 _fbp 不是由伺服器端設置的敏感 cookie。

2️⃣ 安全性評估

• 對你自己的 cookie：已設置 SameSite → 沒有 CSRF 風險。
• 第三方 cookie：缺少 SameSite 不影響你的核心網站安全，但掃描工具可能仍報警。

3️⃣ 建議回應 AppScan

可以這樣說：

「掃描報告提到 _fbp Cookie SameSite 屬性遺漏，但本專案 Source Code 及 Web.Config 均未生成此 Cookie。經查 _fbp 為第三方服務生成，非本專案程式產生，且自有 cookie 已正確設定 SameSite 屬性，故此項為掃描誤判。」

✅ 結論

你完全可以以 Source Code 無 _fbp + Web.Config 已設 SameSite 作為證據，證明 AppScan 報告為誤判。

********************************************************************************

(完)

[研究]ASP.NET WebForm 網站【加密的階段作業 (SSL) Cookie 中遺漏安全屬性】弱點處理

[研究]ASP.NET WebForm 網站【加密的階段作業 (SSL) Cookie 中遺漏安全屬性】弱點處理

2025-07-04

環境：Visual Studio 2022 + ASP.NET + WebForm + Web Application + C# + SQL Server 2019 + SQL Server Management Studio (SSMS) 19

********************************************************************************

ASP.NET WebForm 網站，HCL AppScan 10.18.0 報告【加密的階段作業 (SSL) Cookie 中遺漏安全屬性嚴】弱點，如何處理？

加密的階段作業 (SSL)Cookie中遺漏安全屬性

嚴重性:

CVSS評分: 6.5

CISS有量: AINACLPRNINSUICLILANEXRLXRCXCXIORXIRX(AR XIMA//MAC XIMPR.XIMUI XIMOXIMOXIMEX

URL :

實體: (Cookie)

風險: 有可能竊取在加密階段作業期間傳送的使用者和階段作業資訊(Cookie)

原因: Web 應用程式會透過 SSL德送未受保護的 Cookie

修正: 新增 'Secure'屬性至所有機密 Cookie

差異:

推論: ApScan 發現加密階段作業(SSL)使用不合"secure"屬性的Cookie 。

原始回應

HTTP/1.1 200 OK

Cache-Control: private

Content-Type: text/html; charset-ut-8

X-Frame-Options: SAMEORIGIN

X-XSS-Protection: 1; mode-block

X-Content-Type-Options: noeniff

Referrer-Policy: no-referrer-when-downgrade

Strict-Transport-Security: max-age-31536060000

Date: Thu,

Content-Length:

<!DOCTYPE html>

<html xmins "http://www.w3.org/1999/xhtml" lang "zh-Hant.">

<headxtitle>

ChatGPT 說：

針對您提供的 HCL AppScan 10.18.0 弱點報告：「加密的階段作業 (SSL) Cookie 中遺漏安全屬性」，這屬於典型的 缺少 Secure 屬性的 Cookie 設定問題，即使網站透過 HTTPS 傳輸，若 Cookie 沒加上 Secure 屬性，瀏覽器仍有機會在非加密連線時不小心洩露 Cookie，增加被竊取風險。

ASP.NET WebForm 解決方案

1️⃣ 修改 Cookie 設定方式

針對程式中產生的 Cookie，請務必加上：

HttpCookie cookie = new HttpCookie("YourCookieName", "YourValue"); cookie.Secure = true; // 僅透過 HTTPS 傳送 cookie.HttpOnly = true; // 防止 JavaScript 存取，減少 XSS 風險 Response.Cookies.Add(cookie);

 如果是修改 Session Cookie，請設定 web.config：

2️⃣ web.config 設定 Session Cookie

<configuration> <system.web> <sessionState cookieSameSite="Strict" cookieSecure="Always" /> </system.web> </configuration>

 參數說明：

• cookieSecure="Always" ⇒ 強制 Session Cookie 僅透過 HTTPS 傳送
• cookieSameSite="Strict" ⇒ 限制第三方網站請求帶入 Cookie，增加 CSRF 防護（根據需求選擇 Strict、Lax 或 None）

3️⃣ Global.asax 確保 Secure 屬性套用

若框架版本較舊、或不同頁面動態產生 Cookie，建議於 Application_EndRequest 統一強制加上 Secure 屬性：

protected void Application_EndRequest(object sender, EventArgs e) { if (Request.IsSecureConnection) { foreach (string cookieKey in Response.Cookies.AllKeys) { HttpCookie cookie = Response.Cookies[cookieKey]; if (cookie != null) { cookie.Secure = true; } } } }

 4️⃣ 確認 IIS 強制 HTTPS

除了設定 Cookie，若用戶端仍可透過 HTTP 存取網站，風險依舊存在。

IIS 設定強制 HTTPS：

• 將網站根目錄設定「需要 SSL」
• 使用「URL Rewrite」加強轉址：

<rewrite> <rules> <rule name="Redirect to HTTPS" stopProcessing="true"> <match url="(.*)" /> <conditions> <add input="{HTTPS}" pattern="off" ignoreCase="true" /> </conditions> <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" /> </rule> </rules> </rewrite>

 5️⃣ 確認 HSTS 標頭

從您的報告：

Strict-Transport-Security: max-age=31536060000

 已經正確套用 HSTS（強制瀏覽器使用 HTTPS），良好。

6️⃣ 常見疏漏

• ASP.NET 預設的 Session Cookie 若未設定 cookieSecure="Always" 仍可能出現問題
• 程式碼中手動產生的 Cookie 忽略 Secure
• 只在伺服器端設定 HSTS，客戶端仍可初次透過 HTTP 存取

小結：處理步驟

✅ 確認程式碼內所有 Cookie 加上 cookie.Secure = true

✅ web.config 中設定 cookieSecure="Always"

✅ 確保 IIS 強制 HTTPS，禁止 HTTP 存取

✅ 全站導入 HSTS（您已完成）

✅ 建議定期透過 AppScan 重新驗證

********************************************************************************

僅在 Web.Config 設定  <sessionState cookieSameSite="Strict" cookieSecure="Always" /> ，其他不管，可否解決 ?

ChatGPT 說：

只改 web.config 這只影響 ASP.NET 自動產生的「Session Cookie」

例如：ASP.NET_SessionId 這類型的 Cookie 會套用：

Secure ⇒ 僅透過 HTTPS 傳輸

SameSite=Strict ⇒ 限制第三方請求帶入 Cookie

但需注意：

🔴 其他透過程式碼產生的 Cookie 不受影響，例如：

HttpCookie myCookie = new HttpCookie("CustomCookie", "abc");

Response.Cookies.Add(myCookie);

如果您網站除了 Session Cookie，還有其他自訂 Cookie，web.config 不會自動幫您加上 Secure，這類 Cookie 照樣被 AppScan 掃到問題。

實務建議：您可以先單純加上：

<sessionState cookieSameSite="Strict" cookieSecure="Always" />

然後重新跑一次 AppScan，看弱點是否消失

********************************************************************************

若只在 "Global.asax 確保 Secure 屬性套用" ，不管 Web.config 設定，不管個別網頁程式修改，可以解決 ?

ChatGPT 說：

✅ 單純靠 Global.asax 這段，可以有效消除「Cookie 未設 Secure」的 AppScan 弱點

⚠ 但注意以下細節：

項目	說明
Session Cookie	因為 ASP.NET_SessionId 是透過 Response.Cookies 回傳，這段程式會套用
自訂 Cookie	只要用 Response.Cookies.Add()，這段也會套用
SameSite 屬性	這段程式沒有處理 SameSite，若 AppScan 也檢查 SameSite，需另設
非 HTTPS 請求	判斷 Request.IsSecureConnection，只有 HTTPS 請求才加 Secure

********************************************************************************

2️⃣ 正確寫法：屬性合併

您應該將所有設定合併在同一個 <sessionState> 裡：

<configuration>

  <system.web>

    <sessionState 

      mode="SQLServer" 

      allowCustomSqlDatabase="true" 

      sqlConnectionString="MyConnectionString" 

      cookieless="false" 

      timeout="20" 

      cookieSameSite="Strict" 

      cookieSecure="Always" />

  </system.web>

</configuration>

********************************************************************************

'/' 應用程式中發生伺服器錯誤。

組態錯誤

描述: 處理服務此要求所需的組態檔時發生錯誤。請檢視下列的特定錯誤詳細資訊，並適當修改您的組態檔。

剖析器錯誤訊息: 無法辨認的屬性 'cookieSecure'。請注意，屬性名稱必須區分大小寫。

ChatGPT 說：

非常精準的觀察，這代表您的 ASP.NET 環境版本不支援 cookieSecure 和 cookieSameSite 這兩個屬性。

1️⃣ 支援版本說明

cookieSecure 和 cookieSameSite 為 .NET Framework 4.7.2 以上版本 才開始支援

若您使用的 ASP.NET WebForm 專案是：

狀況 說明

.NET Framework 4.7.2 或以上 屬性有效，可直接用

.NET Framework 4.5、4.6、4.7 不支援，報錯

.NET Framework 更舊版本 不支援，報錯

2️⃣ 如何確認您的版本？

打開 web.config 看頂部：

<compilation targetFramework="4.7.2" />

若不是 4.7.2 或更高版本，該屬性無法使用。

您也可以用：Visual Studio 專案內容 → 目標 Framework

伺服器實際環境，確認安裝的 .NET Framework 版本

3️⃣ 解決方案

若無法升級 .NET Framework，又要修正 AppScan 弱點，建議：

4️⃣ 建議動作

動作 說明

確認 targetFramework 若小於 4.7.2，建議用 Global.asax

無法升級框架 保留原始 sessionState 設定，別加不支援屬性

AppScan 弱點持續存在 可提供實際回應 Set-Cookie 資訊，我協助判斷

********************************************************************************

<compilation debug="true" targetFramework="4.8">

ChatGPT 說：

這代表：

⚠ 您雖設定 targetFramework="4.8"，但：

伺服器環境實際執行的 .NET 版本 < 4.7.2

或 System.Web 組件沒有更新

Visual Studio 發佈時未使用正確版本

IIS 維持舊版應用程式集區

2️⃣ 核心檢查步驟：

請在伺服器上：

開啟 IIS 管理員

找到網站對應的「應用程式集區」

確認 .NET CLR 版本 是否顯示：

v4.0.30319

⚠ 雖顯示 v4.0，但實際版本需看「已安裝的 .NET Framework」。

3️⃣ 查看伺服器 .NET 版本

請檢查：

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\

內部 System.Web.dll 右鍵 → 內容 → 詳細資料

版本應至少為 4.7.2 或以上

或透過註冊表：

reg query "HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full"

會顯示：

Release    REG_DWORD    528040  (對應 4.8)

4️⃣ 快速解決法：

若不確定伺服器版本、又要快速修補：

✅ 使用 Global.asax 統一補上 Secure，可解決大部分 AppScan 報告問題

✅ cookieSameSite 若需支援，確認環境版本符合

5️⃣ 總結建議：

✅ 若確定伺服器已完整安裝 .NET 4.8，可用 cookieSecure、cookieSameSite

✅ 若伺服器版本落後，建議升級 .NET Framework

✅ 無法升級時，Global.asax 強制加 Secure 為次佳方案

********************************************************************************

(完)

相關