漏洞描述：

用户退出系统后，服务器端Session未失效，攻击者可利用此Session向服务器继续发送服务请求。

测试方法：

通过客户端提供的注销功能退出客户端登录，利用登录时的会话再次向服务器发出操作请求（即抓取请求包后，使用上次的session向服务器发送请求），判断服务器是否返回操作结果。

漏洞分析：

攻击者通过网络嗅探或者钓鱼攻击窃取用户的Session信息，在用户注销系统后，如服务器端未直接清理此Session，则攻击者仍可利用窃取到的Session成功访问系统直到Session过期。

漏洞等级：

【高危】：关闭浏览器后或退出后返回之前页面会话依然有效

修复方案：

用户退出系统后，服务器端应清空此用户的Session信息。