会话标识（session）未更新
漏洞描述：
用户退出系统后，服务器端Session未失效，攻击者可利用此Session向服务器继续发送服务请求。
测试方法：
通过客户端提供的注销功能退出客户端登录，利用登录时的会话再次向服务器发出操作请求（即抓取请求包后，使用上次的session向服务器发送请求），判断服务器是否返回操作结果。
漏洞分析：
攻击者通过网络嗅探或者钓鱼攻击窃取用户的Session信息，在用户注销系统后，如服务器端未直接清理此Session，则攻击者仍可利用窃取到的Session成功访问系统直到Session过期。
漏洞等级：
【高危】：关闭浏览器后或退出后返回之前页面会话依然有效
修复方案：
用户退出系统后，服务器端应清空此用户的Session信息。
安全测试之漏洞测试与修复建议（每周更新欢迎订阅） 文章被收录于专栏
安全测试相关知识分享
