세션 하이재킹 및 PHP

Question

서버가 사용자와 갖는 신뢰를 고려해 볼 수 있습니다.

세션 고정 : 전체 사이트에 대한 SSL 암호화 : 내가 사용하는 고정 "에도 session_regenerate_id()"만 인증에 (login.php)

세션 sidejacking을 방지하기 위해.

안전합니까?

감사합니다.

Answer 1

OWASP A3-Broken Authentication and Session Management을 읽으십시오. OWASP A5-CSRF에 대한 내용도 있습니다.이 내용을 "세션 라이딩"이라고도합니다.

당신은 PHP는 헤더 파일에이 코드를 사용한다 :

는

ini_set('session.cookie_secure',1); 
ini_set('session.cookie_httponly',1); 
ini_set('session.use_only_cookies',1); 
session_start(); 

이 코드는 session fixation를 방지 할 수 있습니다. 또한 document.cookie에서 xss를 보호하는 데 도움이됩니다. 이는 Session Hijacking이 발생할 수있는 한 가지 방법입니다. HTTPS 전용 쿠키를 시행하면 OWASP A9-Insufficient Transport Layer Protection을 처리하는 좋은 방법입니다. HTTPS를 사용하는이 방법은 때로는 "보안 쿠키"라고 불리우며, 이는 끔찍한 이름입니다. 또한 STS은 매우 멋진 보안 기능이지만 모든 브라우저에서 지원하지는 않습니다 (아직).

Answer 2

또한 세션에 사용자 에이전트와 IP 정보를 저장하고 각 요청에 대해 확인하는 것이 좋습니다. 방탄은 아니지만 견고성이 상당히 향상되었습니다. UA 단조는 정말 쉽지만 가능하다면 IP 단조는 훨씬 어렵습니다 ...하지만 AOL 사용자와 같은 라운드 로빈 IP 시스템 뒤에있는 사용자에게는 문제가있을 수 있습니다 ...

Answer 3

모범 사례 i 세션 데이터를 데이터베이스 또는 텍스트 파일에 저장한다는 것을 발견했습니다. 데이터베이스는 사용자 에이전트와 IP 레코드를 가지며 세션이 다른 사람에 의해 절대로 하이재킹되지 않았는지 확인하기 위해 모든 요청을 확인합니다.

예를 들어 세션이 데이터베이스에 저장되는 방법을 통해 codeigntier 세션 라이브러리에서 구현을 볼 수 있습니다. 내 의견으로는이 방법은 공정하게 누군가가 세션을 납치하는 것을 막기 위해 저장합니다.