Currently viewing the tag: "SESSION"

SESSION　與　Suhosin

By On 2012 年 02 月 14 日 · Leave a Comment

今天發現A網站（a.xxx.com） 以及B網站（b.xxx.com）共用　COOKIES　的域名 xxx.com 以及存儲路徑為　/　出現了問題。 A 網站、B　網站的 SESSION　各自為政。因為在配置２個網站的　SESSION　使用了相同的　MEMCACHED　服務，所以一直以來登陸　A網站成功後，B網站自然就能獲取相關的SESSION　信息了（這是最簡單的一種２個網站共享SESSION的方法，還有一種就是走接口。多數目前的網站都使用了OAUTH協議）。並且 SESSION ID 在切換各網站時也沒有變化。因為之前升級過PHP版本和一些擴展模塊，所以檢查了這種 SESSION　相關的參數，發現２個網站的參數全部一直。

最後突然想到最近服務器裝了 SUHOSIN，一查發現是　SUHOSIN　的　cryptdocroot　配置項的問題。

suhosin.session.cryptdocroot

Type: Boolean
Default: On
Flag that decides if the transparent session encryption key depends on the Documentroot field.

＝＝＝＝＝＝＝＝＝＝
suhosin.cookie.cryptdocroot

Type: Boolean
Default: On
Flag that decides if the transparent cookie encryption key depends on [...]

Continue Reading →

通过 SESSION ID 入侵用户帐号

By On 2011 年 06 月 24 日 · Leave a Comment

大家都了解暴力破解帐号密码，但可能都忽略了暴力 SID 猜测进行入侵的手段。本短程序演示了，如何通过暴力猜测 SID 来进行入侵
用户帐号的手段。希望各人初学的 PHPer 能引起重视。选择一种快速的储存方式以及好的 SID 格式都是必要的。

PS：很多人将 UUID 作为 SID，但使用 UUID 也是不可靠的，他也不能防范这种猜测性的攻击。

http://www.ietf.org/rfc/rfc4122.txt
引用自 rfc4122：

========================
6. Security Considerations

Do not assume that UUIDs are hard to guess; they should not be used
as security capabilities (identifiers whose mere possession grants
access), for example. [...]

Continue Reading →

PHP-SESSION 被多次调用的悲剧

By On 2011 年 05 月 06 日 · Leave a Comment

如果我们同时调用了多个页面（比如用IFRAME或用PHP程序输入图片），并且这些页面都使用了 SESSION 储存一些数据。
这样悲剧的事情就来了….

SESSION 的储存

默认情况下PHP-SESSION储存的时候，是将$_SESSION 数组的数据一起保存到文件中（当然可以配置 PHP.INI 到MEMCACHE或自己通过 session_set_save_handler 储存到其他地方）。然后使用 SID 作为 KEY,自然 VALUE就是$_SESSION 的数据。

悲剧的问题

如果我们同时执行了3张网页，这3张网页网页都使用了PHP-SESSION 保存数据：
1. 保存 $_SESSION['test1'] = ‘test1′;
2. 保存 $_SESSION['test2'] = ‘test2′;
3. 保存 $_SESSION['test3'] = ‘test3′;

我们理想的结果是 test1、test2、test3 在任何情况下都应该被保存。但事实不是这样的。

假如他们是同时读取的，并且 test3 是在最后被保存。那么 SESSION 保存的数据就不是 test1、test2、test3 这三个数据了而是 test3这一个数据。导致这个问题的原因是，SESSION储存的时候是将数据一起全部保存的。于是导致了覆盖。

由于服务端执行顺序的不同，也可能得到这样的结果：

Array ( [test2] => [...]

Continue Reading →
Set your Twitter account name in your settings to use the TwitterBar Section.