php – 会话劫持从另一个角度
发布时间：2020-12-13 13:14:12 所属栏目：PHP教程 来源：网络整理
导读：我一直在使用一个安全的登录/门户类型的工具集,通用代码是免费的SQL注入,XSS等,我有多个事情停止会话劫持. 为每个页面重新生成会话的ID 在登录时将用户的IP与IP进行比较 在登录时将用户的user_agent与代理进行比较 会议时间短 等等 我已经做了所有我可以想到
|
我一直在使用一个安全的登录/门户类型的工具集,通用代码是免费的SQL注入,XSS等,我有多个事情停止会话劫持.
>为每个页面重新生成会话的ID 等等 我已经做了所有我可以想到的停止劫持,但我仍然找到一个可能的情况,并想知道是否有任何想法. 想象一下,在SNAT / DNAT的防火墙后面有两个用户,所以这两个用户来自同一个IP.它们都是同一个地方提供的相同的机器.一个连接到该站点并登录,另一个复制PHPSESSID cookie,并且可以简单地窃取会话. 这可能听起来像一个极端的例子,但是这与我的工作场所非常相似,每个人都在防火墙后面看起来是相同的IP,所有的机器都由IT团队管理/提供,所以都有相同的版本的浏览器,操作系统等 我试图想到另一种方式(服务器端)停止劫持或进一步减少它,我在想一个嵌入到每个URL(每页更改)并被检查的令牌. 我正在寻找想法或建议,如果您想提供代码或示例欢迎,但我更感兴趣的开箱即用的想法或评论我的标记想法.
强制一切使用HTTPS.
我认为你是指网络中的用户嗅探cookie的被动攻击.为此,您不需要HTTPS.当各方确信他们正在说话时,有几个选项是足够的(例如,您可以首先进行DH交换,并且服务器会加密客户端在下次请求中使用的令牌…),但不是值得走这条路线的麻烦. 如果用户最初键入非https地址,则仍然可以进行主动攻击,但在这种情况下您无法做到这一点.将来,一旦用户通过HTTP strict transport security.建立了一个与您的站点的无偏置连接,您可以防止这种未来的攻击. （编辑：李大同） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |