06-06-10, 22:24
|
# 1 |
|
חבר וותיק
|
שאלה PHPSESSID
היי,
אם אני יודע PHPSESSID כלשהו של אתר מה אני יוכל לעשות איתו? ואיך מגוננים מפני זה? תודה! |
|
|
06-06-10, 22:59
|
# 2 |
|
עסק רשום [?]
|
קודם כל זה מזהה של הלקוח, לא של השרת.
אם אתה משיג מזהה של משתמש אחר אתה יכול להזדהות כאותו משתמש ולגשת לנתונים המשוייכים לסיישן הזה. אכן יש פה פרצת אבטחה ואם הבן אדם מספיק מבין בנושא ויש במערכת הרבה שימוש בסיישן זה די שימושי ומסוכן. אפשר להגן מפני זה, קרא על session hijacking ו- session fixation. |
|
|
|
06-06-10, 23:55
|
# 3 |
|
חבר מתקדם
|
אתה יכול במקומות "מסוכנים" לעשות בדיקה של IP,
הכוונה היא שבהתחברות אתה שומר את ה-phpsessid לעמודה של המשתמש שהתחבר ושומר שם את ה-IP, וכל פעם שהוא עושה פעולה "מסוכנת" (שליחת הודעה,מחיקת הודעה וכו') להעביר אותו דרך הבדיקה, לראות שהוא פתאום לא החליף IP. |
|
|
 |
| חברים פעילים הצופים באשכול זה: 1 (0 חברים ו- 1 אורחים) | |
|
|
עבור למצב קווי
