远程访问服务器端页面

问：

我有一个在 Windows 2012r2 上运行 IIS 8.5 的网站，该应用程序是用 ASP.NET 编写的，这个黑客能够访问后端页面、窃取会话并以某种方式远程发布到它们。

我们有一个社交网络网站，其中包含个人资料、消息、墙壁等，他能够以某种方式绕过所有后端安全。我已经想尽一切办法把他拒之门外。我的 Web 配置具有这些设置。但这些都行不通。我的网站是 SSL，并且要求启用 SSL。

<add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload"/> <add name="X-Content-Type-Options" value="nosniff"/> <add name="X-Frame-Options" value="DENY"/> <add name="X-XSS-Protection" value="1; mode=block"/>

我在这里一筹莫展。我该怎么办？

我已经尝试了我能想到的一切，我在这里没有想法。