PHP Guru » Bezpečnost

Předávání SID pomocí cookies

Jan Tichý — Fri, 11 Sep 2009 21:07:43 +0000

Jak jsem ukázal v článku „Session ID do URL nepatří“, základním pravidlem je uchovávat a předávat si session ID výhradně s pomocí cookies. Dneska bych rád zmínil některá důležitá nastavení, která s tím souvisí.

Session ID do URL nepatří

Jan Tichý — Fri, 04 Sep 2009 16:15:34 +0000

V článku „Session hijacking aneb ukradení session ID“ jsem předeslal, že předávání SID přímo pomocí parametrů v URL je špatné. Lze na ně totiž použít drtivou většinu všech útoků pro ukradení či podvržení SID, zatímco předávání pomocí cookies je proti mnohým z nich relativně odolné. Pojďme se na to podívat blíže.

Sidejacking aneb nasloucháme v síti

Jan Tichý — Mon, 22 Dec 2008 02:38:41 +0000

V předchozím článku jsem zeširoka nakousl session hijacking jako úvod do dalších brzkých dílů. Ale jak už to tak při psaní blogísku bývá s volným časem, je ho čím dál méně, takže pokračování přichází až teď, po třech měsících. No nic, podívejme se na první možnost krádeže Session ID, kterou je Sidejacking čili odchycení SID z běžného sítového provozu.

Session hijacking aneb ukradení session ID

Jan Tichý — Fri, 12 Sep 2008 19:35:54 +0000

Ukradení SID oprávněnému uživateli se obvykle označuje jako Session stealing nebo častěji Session hijacking. Existuje více cest, jak lze SID ukrást a získat tak třeba přístup k účtu daného uživatele. V příštích několika článcích se pokusím uvést všechny důležité útoky a zejména možnosti, jak se lze Session hijackingu v PHP bránit.

Cross-site scripting

Jan Tichý — Fri, 22 Feb 2008 09:02:38 +0000

Cross-site scripting, označovaný obvykle zkratkou XSS, patří k nejznámějším útokům vůbec. Ačkoliv o něm již bylo napsáno mnoho, jsou díry umožňující XSS i nadále jedněmi z nejčastějších chyb současných webových aplikací. Není tedy od věci si jej připomenout i zde.

Nenechte si uhodnout Session ID

Jan Tichý — Thu, 31 Jan 2008 23:55:36 +0000

Při práci se sessions si mezi sebou server a klient neustále vyměňují SID. Jedná se o náhodně vygenerovaný token, podle kterého si server páruje dohromady jednotlivé požadavky konkrétního návštěvníka. Kdo zná SID, ten má přístup i k celé příslušné session. Protože se na sessions obvykle váží takové citlivé věci, jako je přihlášení uživatele, stává se bezpečnost SID jedním z kritických míst aplikace. A jak ukážu v závěru článku, problém je obecnější a netýká se zdaleka jen sessions.