Vreemd probleem met Sessies

[raptorix]

Het volgende is het probleem, op een website van 1 van onze klanten hebben we formulieren met daarop een captcha image. Per pagina kunnen 2 formulieren aanwezig zijn, deze formulieren worden direct ingeladen, maar alleen getoond als er op de contact of sample aanvraag word geklikt.

De captcha word serverside gegenereerd, en het in te vullen getal word op zijn session opgeslagen.

Nu vertoont zich een vreemd fenomeen dat voor bepaalde gebruikers ten onrechte de captcha niet goed gekeurd word, op het plaatje staat een 5 cijferige getal, en ik heb ook gezien dat ze dit invullen.

Mijn eerste vermoeden was dat het opslaan op de sessie niet goed ging, dus nadat ik zeer uitgebreide logging had ingebouwd, kon ik vanmorgen eindelijk echt debuggen, bij mij zelf gaat het niet fout, maar bij de klant dus wel.

Na wat gepuzzel met verschillende logfiles vond ik het probleem, bij het valideren van de captcha heeft de gebruiker een ander session id dan wanneer deze gezet is

Zetten:

code:

2015-06-10 08:26:54,698 WIN-3IS8GMFSE9U INFO - Start CaptchaImage logging for Session id vzgnfcwlwtlr2n0ipd1izr3s
2015-06-10 08:26:54,698 WIN-3IS8GMFSE9U INFO - set Session:captcha_1130_7309_samplerequest with value: 21139

Uitlezen:

code:

2015-06-10 08:27:39,182 WIN-3IS8GMFSE9U INFO - Start logging for ValidateCaptcha Session id hsiwfyub2yk4k400xtjyuwis
2015-06-10 08:27:39,182 WIN-3IS8GMFSE9U INFO - validate captcha for pageId [1130] and formId [7309]
2015-06-10 08:27:39,182 WIN-3IS8GMFSE9U INFO - submitted captcha value: [21139]

Kortom een vreemd probleem, als ik echter het orginele request zie, dan valt het me op dat in het request het sessieID niet aanwezig is in het cookie, en dat zou ook verklaren waarom de gebruiker direct een ander sessieID krijgt (tenminste dit veronderstel ik).


Als ik ook naar zijn requests kijk dan zit er totaal geen logica in, bij de ene resource word wel de sessie meegegeven, en bij de ander niet (het betreft 1 zelfde pageload)



Heeft iemand een idee hoe dit kan? Ik vermoed dat er iets qua security speelt, maar de definitieve oorzaak blijft voor mij onduidelijk.

[gorgi_19]

Werk je met frames of iframes? Als de hoofdpagina geen sessies triggert, en meerdere childs wel, dan kan hij meerdere sessies willen opstarten.

[ Voor 65% gewijzigd door gorgi_19 op 10-06-2015 15:22 ]

[raptorix]

gorgi_19 schreef op woensdag 10 juni 2015 @ 15:21:
Werk je met frames of iframes?

Nee, gewoon in een normale DIV, de post is restful over zelfde protocol en ook geen mix van protocol.

[NeFoRcE]

Verschillende domeinen, doorverwijzingen, of cookie-domain-specific dingetje?

[raptorix]

NeFoRcE schreef op woensdag 10 juni 2015 @ 15:24:
Verschillende domeinen, doorverwijzingen, of cookie-domain-specific dingetje?

Nee domeinen zijn ook gewoon hetzelfde, check vooral het laatste plaatje, het lijkt echt op een soort van browser security....

[netiul]

Als het een browser ding is, dan zou je verschil moeten merken tussen browsers. Is dat zo?

[raptorix]

netiul schreef op woensdag 10 juni 2015 @ 15:40:
Als het een browser ding is, dan zou je verschil moeten merken tussen browsers. Is dat zo?

Ja, het vreemde is dat het niet consequent fout gaat bij mij, bij de klant kennelijk wel.
Ik heb het zelf 1 keer fout zien gaan bij mij zelf, maar kon dat vervolgens niet meer reproduceren

[Tjolk]

Je ziet in de afbeelding ook 2 verschillende SessionIds. Start je misschien 2 verschillende processen op? Een keer per ongeluk een call over https terwijl de rest over http gaat?

PS: misschien ff in de topictitel een ASP tag zetten. Dan had ik dit als PHP nerd niet zo gauw geopend.

[ieperlingetje]

Onder /media zie ik een ander cookie dan onder /static. Ben je zeker dat de cookie voor het ganse domein geld?

[raptorix]

ieperlingetje schreef op woensdag 10 juni 2015 @ 16:48:
Onder /media zie ik een ander cookie dan onder /static. Ben je zeker dat de cookie voor het ganse domein geld?

Het is gewoon een standaard ASP.Net session ID, die krijg je naar mijn weten gewoon op je eerste hit op de applicatie en die zou gewoon gelijk moeten blijven.

[raptorix]

Ger schreef op woensdag 10 juni 2015 @ 16:40:
Je ziet in de afbeelding ook 2 verschillende SessionIds. Start je misschien 2 verschillende processen op? Een keer per ongeluk een call over https terwijl de rest over http gaat?

PS: misschien ff in de topictitel een ASP tag zetten. Dan had ik dit als PHP nerd niet zo gauw geopend.

Nope nog even gedubbelchecked, alles gaat over http.

[Tjolk]

Als ik jou was zou ik eens grondig gaan kijken naar de code waar je je sessie opstart cq. herstart. Misschien gaat er iets mis met domein, host of pad oid. Dat is nu een beetje gissen in het duister.

[raptorix]

Ger schreef op donderdag 11 juni 2015 @ 09:09:
Als ik jou was zou ik eens grondig gaan kijken naar de code waar je je sessie opstart cq. herstart. Misschien gaat er iets mis met domein, host of pad oid. Dat is nu een beetje gissen in het duister.

Tjah het zetten van de session doe ik eigenlijk op een normale manier, daarnaast werkt het bij de meeste mensen wel, dus als ik iets echt fout zou doen, dan zou het structureel fout gaan vermoed ik....

[raptorix]

Ik denk dat ik er uit ben, waar ik vanuit ging was dat als je de site voor het eerst bezoekt, je als gebruiker automatisch een sessie krijgt, dit blijkt echter niet het geval!

Kennelijk is het tegenwoordig zo, dat je pas aan een sessie word gekoppeld wanneer er iets op de sessie word gezet, kortom als je van de homepage (waar nog geen sessie word gezet) naar de onderliggende pagina gaat, dan vind daar 2 keer een request plaatst op de captcha, aangezien daar een sessie word gezet, vind dat 2 keer plaats:

code:

Set-Cookie  ASP.NET_SessionId=zq1cpw42c0qxl0i0yo2naka1; path=/; HttpOnly
Set-Cookie  ASP.NET_SessionId=20t0g2t5mnys2buggrikvc0p; path=/; HttpOnly

Kortom ik denk dat het oplossen nu wel gaat lukken.

[raptorix]

Ik heb het nu opgelost door on session start direct iets op de sessie te zetten.