Session Hijacking

R

Rushvet

Registered
Здравейте. Изчетох доста как се осъществява този тип атака, но никъде не срещнах обяснение как да бъде предотвратена напълно. Дават пример само със смяна ид-то на сесията в по важните страници от сайта.
Нуждая се от предложения за премахване на този проблем.
 
Сесията да я записваш във базата, всеки уважаващ себе си програмист го прави. :)
 
@nasibg, би ли обяснил подробно, защото и аз не я записвам, а ми е интересно.
 
Ако имаш достъп до сървъра, Suhosin предпазва и от крадене на сесии

Запази user agent и ip в сесията и при всяко зареждане на страницата провери дали съвпадат с тези на потребителя в момента
Това прави и suhosin, но малко по-елегантно.
 
alex95_bg_2 каза:
Ако имаш достъп до сървъра, Suhosin предпазва и от крадене на сесии

Запази user agent и ip в сесията и при всяко зареждане на страницата провери дали съвпадат с тези на потребителя в момента
Това прави и suhosin, но малко по-елегантно.
Увеличете...

Не става. Хедърите при някой браузъри се менят. ИП-то при динамичните ИП-та се сменя.


nasibg каза:
Сесията да я записваш във базата, всеки уважаващ себе си програмист го прави. :)
Увеличете...
Правят го, но не виждам съществено препятствие. Само за фиксиране на сесията пречи.
 
Полезна настройка, която открих в книгите си е:
ini_set('session.use_only_cookies',1);
Увеличете...
Задава на ПХП да игнорира подаването на сесиен идентификатор чрез УРЛ и да приема само чрез бисквитки.
 
Rushvet каза:
Полезна настройка, която открих в книгите си е:
ini_set('session.use_only_cookies',1);
Увеличете...
Задава на ПХП да игнорира подаването на сесиен идентификатор чрез УРЛ и да приема само чрез бисквитки.
Увеличете...
Ъхм, че какво ми пречи да открадна на някой кукитата (с xss например)
И след това да си направя куки на твоя домейн с име PHPSESSID с тази стойност? Нищо не ми пречи

Менят се, нали това е идеята. Трябва да даваш кукито само на човека с този браузър. Ако му се смени ипто ще се логне наново
А пък юзър агентите чаааак пък толкова често да се сменят. Хората не си ъпдейтват браузъра всеки ден :)
 
Xss си е друг проблем който смятам че съм решил.
Въпроса е че след като отпада възможността за фиксиране на сесията чрез пращане на линк с точно определено ид на сесията сигурността се повишава.
 
Трябва да си влезнал или регистриран, за да отговориш тук.

Back
Горе