Non-rotation de session post-connexion

<?php
// VULNÉRABLE — identifiant de session non renouvelé
session_start();
$user = authenticate($_POST['email'], $_POST['password']);
if ($user) {
    $_SESSION['user_id'] = $user->id;  // ID_PRE_AUTH est maintenant authentifié
    header('Location: /tableau-de-bord');
}
 
// CORRIGÉ — régénérer avec true avant d'écrire l'état auth
session_start();
$user = authenticate($_POST['email'], $_POST['password']);
if ($user) {
    session_regenerate_id(true);       // supprimer l'ancienne session, générer un nouvel ID
    $_SESSION['user_id'] = $user->id;
    header('Location: /tableau-de-bord');
}

// VULNÉRABLE — l'ancien fichier de session reste dans le stockage
session_regenerate_id();
 
// CORRIGÉ — l'ancien fichier de session est immédiatement supprimé
session_regenerate_id(true);

# VULNÉRABLE — session.clear() vide les données mais NE change PAS l'identifiant
def create
  user = User.find_by(email: params[:email])
  if user&.authenticate(params[:password])
    session.clear              # incorrect : le même identifiant persiste
    session[:user_id] = user.id
    redirect_to dashboard_path
  end
end
 
# CORRIGÉ — reset_session détruit l'ancienne session et crée un nouveau jeton
def create
  user = User.find_by(email: params[:email])
  if user&.authenticate(params[:password])
    reset_session              # correct : nouvel ID, ancienne entrée détruite
    session[:user_id] = user.id
    redirect_to dashboard_path
  end
end

// VULNÉRABLE — désactive explicitement la protection contre la fixation
@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.sessionManagement(session -> session
            .sessionFixation().none()   // NE JAMAIS FAIRE CELA
        );
        return http.build();
    }
}
 
// CORRIGÉ — comportement par défaut (changeSessionId) — peut être explicite
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.sessionManagement(session -> session
        .sessionFixation().changeSessionId()  // Servlet 3.1 — valeur par défaut sûre
    );
    return http.build();
}

// Java EE 7+ (Servlet 3.1) — remplacement atomique de l'identifiant
@WebServlet("/login")
public class LoginServlet extends HttpServlet {
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) {
        User user = authenticate(req.getParameter("email"), req.getParameter("password"));
        if (user != null) {
            // CORRECT : changeSessionId() remplace l'ID de façon atomique, préserve les données
            req.changeSessionId();
            req.getSession().setAttribute("userId", user.getId());
            resp.sendRedirect("/tableau-de-bord");
        }
    }
}

// VULNÉRABLE — session définie sans régénération de l'identifiant
app.post('/login', async (req, res) => {
  const user = await authenticate(req.body.email, req.body.password);
  if (user) {
    req.session.userId = user.id;   // identifiant pré-auth persiste
    res.redirect('/tableau-de-bord');
  }
});
 
// CORRIGÉ — regenerate() crée une nouvelle session
app.post('/login', async (req, res) => {
  const user = await authenticate(req.body.email, req.body.password);
  if (user) {
    req.session.regenerate((err) => {
      if (err) return res.status(500).json({ error: 'Erreur de session' });
      req.session.userId = user.id;  // écrit dans le nouvel identifiant de session
      res.redirect('/tableau-de-bord');
    });
  }
});

import requests
 
session = requests.Session()
# Étape 1 : obtenir l'identifiant pré-auth
r1 = session.get('https://cible.com/login')
pre_auth = session.cookies.get('session')
 
# Étape 2 : s'authentifier
r2 = session.post('https://cible.com/login', data={'email': 'test@example.com', 'password': 'correct'})
post_auth = session.cookies.get('session')
 
if pre_auth == post_auth:
    print(f"VULNÉRABLE : identifiant de session non renouvelé ({pre_auth})")
elif 'session' not in r2.cookies:
    print("VULNÉRABLE : pas de Set-Cookie dans la réponse de connexion")
else:
    print("OK : identifiant de session renouvelé à la connexion")

# Python Flask — gestionnaire de connexion complet avec régénération de session
from flask import session, request, redirect, jsonify
from myapp.models import User
 
@app.post('/login')
def login():
    user = User.query.filter_by(email=request.json['email']).first()
    if user and user.check_password(request.json['password']):
        # Préserver l'état pré-auth si nécessaire (ex. : panier)
        old_data = {k: v for k, v in session.items() if k not in ('_fresh', '_id')}
        # Régénérer l'identifiant de session AVANT d'écrire tout état auth
        # Flask : session.clear() + '_fresh' force la rotation de l'identifiant
        session.clear()
        session['_fresh'] = True
        session['user_id'] = user.id  # Écrit dans le NOUVEL identifiant de session
        # Restaurer les données pré-auth non sensibles si besoin
        for k, v in old_data.items():
            if k.startswith('cart_'):
                session[k] = v
        return jsonify({'status': 'ok'})
    return jsonify({'error': 'invalid'}), 401