phpsession ID (숨기기)

세션 ID를 숨길 수있는 방법이 있습니까?phpsession ID (숨기기)

출처

2009-06-25 Anonymous

이것은 나쁜 질문은 아니지만 더 좋게 만들고 조금 더 꾸밀 수 있습니다. – VolkerK

SID to the URL을 추가하지 마십시오.
https을 사용하십시오.
(세션 쿠키에 대한 httponly flag을 설정합니다.)

출처

2009-06-25 07:41:39 VolkerK

httonly = httponly 쿠키하지만 모두가 이해했다고 생각합니다. – Alfred

+1, 나는 httponly 플래그 –

을 알지 못했다. 나는 당신이 "스니핑"을 어떻게 정의하는지에 달려 있다고 생각하지만 제프는 잠시 전에 httponly 플래그에 대해 블로그를 올렸다. http://www.codinghorror.com/blog/archives /001167.html. 클라이언트 측 스크립트가 세션 쿠키에 액세스 할 이유가 전혀 없으므로 php.ini의 session.cookie_httponly를 On으로 설정합니다. – VolkerK

을, 당신은 "사람이 중간에 서버와 클라이언트 사이의 모든 네트워크 트래픽에 듣고 공격자가 스니핑"의미 "킁킁"에 의한 경우, 오직 확실한 방법은 https를 사용하는 것입니다.

URL에 SID를 추가하는지 여부는 아무런 차이가 없습니다. SID는 여전히 쿠키로 전송되며 HTTPS가 아닌 경우 해당 쿠키는 암호화되지 않은 상태로 전송됩니다.

Http 만 플래그는 XSS 공격에 대해 매우 잘 보호 - 블로그 포스트에 연결 VolkerK 참조 -하지만 탐지기

에 대해을 (... 즉, 동사의 경우) 당신은 아마 명확하게 정의 할 필요가

은 더 많은 해답을 얻기 위해 당신을 보호하려는 공격자의 종류.

출처

2009-06-25 10:57:16 James

"URL에 SID를 추가하여도 별 차이가 없습니다."- 예, 매우 느슨하게 "스니핑"하고 IM 또는 XSS 공격에 대한 URL 복사 및 붙여 넣기와 같은 것을 생각했습니다. – VolkerK

그래, 그렇기 때문에 나는 기술적 인 맥락에서 "스니핑 된"것이 보통 의미하는 것을 조심스럽게 정의하고 느슨한 정의를 지적했다. URL에 SID를 추가하지 않으면 일반 보안에 도움이되며 SID 문제가 다른 사람의 로그의 리퍼러 필드에 표시되고 요즘에는 SEO 목적으로도 유용합니다. – James

phpsession ID (숨기기)

답변

관련 문제