国产探花免费观看_亚洲丰满少妇自慰呻吟_97日韩有码在线_资源在线日韩欧美_一区二区精品毛片,辰东完美世界有声小说,欢乐颂第一季,yy玄幻小说排行榜完本

首頁 > 開發 > PHP > 正文

PHP session會話的安全性分析

2024-05-04 23:16:59
字體:
來源:轉載
供稿:網友
從而達到方便快捷的目的,但是它在存儲信息的時候往往會有一些敏感的東西,這些東西可能成為被攻擊的目標,如銀行的賬號、信用卡事務或檔案記錄等。這就要求在編寫代碼的時候必須采取安全措施來減少攻擊成功的可能性。

主要的安全措施有以下兩個方面。

1、防止攻擊者獲取用戶的會話ID。

獲取會話ID的方式很多,攻擊者可以通過查看明文通信來獲取,所以把會話ID放在URL中或者放在通過未加密連接傳輸的Cookie中是很危險的;還有在URL中(作為_get()參數)傳遞會話ID也是不安全的,因為瀏覽器歷史緩存中會存儲URL,這樣就很容易被讀取。(可以考慮使用ssh進行加密傳輸)

還有一種更為隱蔽的攻擊手段,攻擊者通過一個被腳本攻擊突破的Web站點,把被突破的這個站點上的用戶重新定向到另一個站點,然后在重新定向的站點的URL中插入以下代碼:
?PHPSESSID=213456465412312365465412312;

最后發送到Web應用程序。當用戶查看Web應用程序時,PHP會發現沒有與這個會話ID相關聯的數據并且會創建一些數據。用戶不知道發生了什么,但攻擊者卻知道了會話ID,就可以利用這個會話ID進入應用程序。

要防止這種攻擊,有兩種方法。
(1)檢查php.ini中是否打開了session.use_only_cookie。如果是這種情況,PHP會拒絕基于URL的會話ID。
(2)當啟動會話時,在會話數據中放一個變量,這個變量表示會話是用戶創建的;如果發現會話數據中沒有這個變量,那就說明會話ID是假的,就可以調用session_regenerate_id函數,給現有會話分配一個新的會話ID。

示例:

通過判斷變量是否存在來確定會話ID的真假,如果存在,則說明會話ID是真的,否則是假的,并使用session_regenerate_id()函數對會話ID進行更改,重新給會話創建一個新的會話ID,

代碼如下:

復制代碼 代碼如下:


< ?php
session_start () ;
if (!isset ( $_SESSION['shili1'] )) { //判斷shili1變量是否配置
$old_id = session_id () ; //原來的會話ID的變量名
session_regenerate_id () ; //獲取一個新的會話ID
$new_id = session_id () ; //新的會話ID的變量名
echo "old : $old_id<br/>" ; //輸出原來的會話ID
echo "new : $new_id<br/>" ; //輸出新的會話ID
$_SESSION['shili1'] = TRUE ; }
?>


運行結果如圖所示:

PHP session會話的安全性分析


這只是一個示例,輸出會話ID是為了更好的理解和應用這個函數,而在程序設計中是不需要輸出會話ID的。

2、限制攻擊者獲取會話ID。

限制攻擊者獲取會話ID的方法如下。
(1)使用一個函數(md5)計算User-Agent頭加上某些附加字符串數據后的散列值(hash)。(散列函數(hash function)接受一個任意大的數據集,并且將它轉換為一個看起來完全不同的數據,這個數據很短。產生的散列值是完全不可重現的,也不可能由另一個輸入產生。)

在User-Agent字符串后面添加一些數據,攻擊者就無法通過對常見的代理值計算md5編碼來試探User-Agent字符串。

(2)將這個經過編碼的字符串保存在用戶的會話數據中。
(3)每次從這個用戶接收到請求時,檢查這個散列值。

此方案的代碼如下:

復制代碼 代碼如下:


<?php
define ( ‘ua_seed','webapp' ) ;
session_start () ;
if ( !isset($_SESSION['user_agent'] )){
$_SESSION['user_agent'] = md5 ( $_SERVER['HTTP_USER_AGENT'].ua_seed );
}else{
if ($_SESSION['user_agent'] != md5($_SERVER['HTTP_USER_AGENT'].ua_seed)){} }
?>


通過給攻擊者制造一些麻煩,使攻擊者即使獲取了會話ID,也無法進行破壞,能夠減少對系統造成的損失。
發表評論 共有條評論
用戶名: 密碼:
驗證碼: 匿名發表
主站蜘蛛池模板: 饶平县| 南郑县| 穆棱市| 前郭尔| 隆子县| 高密市| 遵义市| 岗巴县| 黎平县| 洛扎县| 高州市| 陆丰市| 安康市| 郓城县| 兴和县| 兴文县| 博客| 深圳市| 盖州市| 冷水江市| 海伦市| 崇州市| 增城市| 偃师市| 临高县| 华蓥市| 塔河县| 卓资县| 察雅县| 莱西市| 无锡市| 高邑县| 榆中县| 东宁县| 湘阴县| 拜城县| 湘西| 蓬溪县| 新密市| 长治县| 舒城县|