nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérifier l’invalidation de la session à la déconnexion

AdminUser

Discussion de test préremplie. Comment vérifieriez-vous l’invalidation de la session à la déconnexion dans le cadre d’un audit autorisé ?

Scénario : connectez-vous avec un compte de test, déconnectez-vous, puis tentez une requête sans risque avec la session précédente. Quelles précautions prendriez-vous, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/24-checking-session-invalidation-on-logout

Réponses

AdminUser

Approche de test : Connectez-vous avec un compte de test, déconnectez-vous, puis tentez une requête sans risque avec la session précédente. Respectez le périmètre écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez les identifiants de session uniquement sous forme expurgée et capturez la réponse après la déconnexion. Expurgez les identifiants de connexion, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Révoquez l’état de la session côté serveur et supprimez les cookies côté client à la déconnexion. Répétez le contrôle initial après le déploiement et consignez le résultat.