еще раз доброго вечера.
столкнулся с ситуацией, которой не должно бвть в принципе. сервер w2008. iis то что есть. хостим сайт. используется обычная формс-аутентификация. все закрыто. некий просто закрытый сайт.
работает все прекрасно некоторое время - 3 месяца. потом вдруг внезапно трагедия. чувак аутентифицируется как Иванов, пару раз обновляет страницу и становится Петровым. при этом аутентификационные куки почему то становятся со сроком истечения и пц. и все остальные точно также становятся именно этим Петровым. помогает только переименовывание куки аутентификации в веб-конфиге....
но через месяц ситуация повторяется. что делать? менять имена куков? но ведь такого быть не должно в принципе...

МСУА Петров с компьютера Иванова логинился под собой?все хуже. я логинился ивановым на своем ноуте с мобильным инетом... и три человека видели как экспирэйшн тайм у аутентификационных куки появляются после обновления страницы (просто файербагом смотрели) , а после второго я уже аутентифицировался петровым. притом когда это случилось - это уже продолжает быть везде и для всех. пока не переименовываеешь куки, как писал...

hVostta_titeev,

XSS может? есть подозрения, но толь подозрения. что конкретно проверять и не пойму...

МСУ,

все нативно. никаких извращений. вообще все примерно там так как в примерах из книги.

hVostt,
логи проверял, буду еще конечно, но пока ничего не нашел.
обычный xss здесь вообще тож не может быть, судя по всему. что-то не то совсем. ввод минимален. возможно ли что речь идет о подлоге куки каким то образом?

hVostt,

да нет вроде. мембершип не стандартный, но заюзан не первый раз. там ничего интересного. да и проявилось только после перевода на 4.5. возможно все же баг. нигде не нашел каким таким волшебным образом у аутентификационных куки вдруг может появится экспирэйшн тайм. все начинается со второго запроса. у куков появляется экспирэйшн, притом со временем, вроде как совпадающем со временем запроса, только в ютц. а на третьем запросе подменяется пользователь.
интересно что все аяксовые запрсы в это же время отрабатывают нормально. до тех пор пока полностью страницу не обновляю...
нк да ладно спишу пока на багушки, там посмотрим. в конце концов - за несколько месяцев было всего два раза, и никакой периодичности не увидел...