Sono stato in grado di accedere utilizzando il cookie della mia sessione precedente, ma quando provo a modificare l'impostazione sono stato disconnesso. Sarà idoneo per la vulnerabilità di esclusione dell'autenticazione?
In sé e per sé, no. Mostrare semplicemente che la scadenza di un cookie di sessione è impostata troppo a lungo non significa che non ci siano altri meccanismi per impedirti di dirottare la sessione di qualcun altro.
La best practice per le sessioni è quella di invalidare il logout e dopo un determinato periodo di tempo (dal momento che la maggior parte delle persone semplicemente chiude le schede senza premere "logout"). Ora, se si preme "logout" e quindi si è in grado di riconnettersi alla sessione con la chiave di sessione salvata in precedenza, si tratta del proprio problema (ho effettivamente visto un sito terminare la sessione cancellando il cookie sul client, ma non invalidandolo lato server ... e ID sessione stavano aumentando).
Se vuoi testare questo per auth bypass / session hijacking, crea un account separato, accedi ad un'altra macchina / browser / etc, e copia quel cookie di sessione. Se sei autenticato come quella sessione / utente, è un bypass / hijack dell'autorizzazione confermato.
Leggi altre domande sui tag authentication web-application