Получили несколько отчетов от клиента (очень крупной компании), который сообщил о проблемах от клиентов, использующих Facebook.
Эти клиенты утверждают, что время от времени, когда они входят в Facebook, они попадают в чей-то сеанс.
Я знаю, что сеть преобразуется через NAT, а затем проксируется перед переходом на Facebook.com.
Хотя я не могу объяснить, как может возникнуть эта проблема.
Возможно ли, что прокси-сервер не отправляет клиентам правильный сеанс?
Как они могут получить чью-то сессию, если Facebook - сессия на основе файлов cookie?
Кто-нибудь видел это раньше?
Используют ли они прокси-сервер на брандмауэре? Возможно, страницы, связанные с facebook, содержащие файлы cookie сеанса, кэшируются. В зависимости от того, какие страницы заказа загружены, он может заменить файл cookie сеанса чужим файлом cookie.
Это должно быть меньше проблем с https соединения, которые не следует кэшировать.
Существует известная уязвимость, которая делает Facebook уязвимым для атак с использованием межсайтовых сценариев. Возможно, что-то подобное происходит.
NAT не может быть его источником, однако сеанс - это просто строка cookie, и если одна и та же строка cookie будет отправлена на несколько компьютеров, то в основном оба компьютера окажутся в одном сеансе.
Прокси-сервер может это сделать, но это будет означать, что и facebook, и прокси делают некоторые довольно проблемные вещи. afaik facebook отправляет строку cookie сеанса только после входа на сайт https, что означает, что он не должен быть кэширован.