Como un pentester principiante, estaba aplastando una de nuestras aplicaciones y descubrí que las cookies no se destruyen cuando un usuario cierra la sesión. Las cookies vinieron con una fecha y hora de caducidad.
Lo que he comprobado:
Sin iniciar sesión, intenté acceder a una URL que se encuentra detrás del inicio de sesión, pero envié esa solicitud HTTP con la cookie que había anotado antes de cerrar sesión. Pude acceder a la página como si fuera un usuario registrado. Más tarde, probé la misma URL con la misma cookie, pero después de la fecha de caducidad de la cookie y como se esperaba, la URL arrojó un error 403 prohibido. ¿Es esta una práctica normal? ¿O debería pedir a los propietarios de la aplicación que destruyan la cookie tan pronto como el usuario cierre la sesión independientemente de la fecha de caducidad de la cocinera?