PHP 会话的安全性

Question

我知道这已经被问了数十亿次，但我对我的编码安全性非常偏执/强迫症。我正在做一个小项目。会话数据将仅包含：

user_id 1
user_name 我的用户名
logged_in true
csrf_token 87cc51ee94178df79cccce2aebc45d53 p>

这是我的代码。在小型 CMS 上使用是否安全？

session_start();

ini_set('session.cookie_httponly', 'On');
ini_set('session.cookie_secure', 'On');
ini_set('session.use_cookies', 'On');
ini_set('session.use_only_cookies', 'On');

$rand = rand(1, 10);

if ($rand != 1 || $rand != 3 || $rand != 5)
    session_regenerate_id();

$user_ip = md5($_SERVER['REMOTE_ADDR']);
$user_agent = md5($_SERVER['HTTP_USER_AGENT']);

if (isset($_SESSION['user_ip'], $_SESSION['user_agent'])) {
    $session_user_ip = $_SESSION['user_ip'];
    $session_user_agent = $_SESSION['user_agent'];

    if ($session_user_ip != $user_ip || $session_user_agent != $user_agent) {
        unset($_SESSION);
        session_destroy();

        die('Error');
    }
} else {
    $_SESSION['user_ip'] = $user_ip;
    $_SESSION['user_agent'] = $user_agent;
}

然后调用会话：

$_SESSION['user_id'] = 1;
$_SESSION['user_name'] = 'MyUsername'; // etc.

额外信息
我将使用会话数据来检查用户是否有权做某事。示例：if ( user_has_perm( $_SESSION['user_id'] ) )

提前感谢您的帮助。

Answer 1

它们只是两个主要的会话攻击

1.) 会话固定攻击。

这可以通过使用session_regenerate_id()来避免

2.) 会话劫持：

这可以通过使用 SSL 证书的数据加密来防止。您的网站现在将在 https 而不是 http 上运行。

3.) 如果您在未实施 CloudFare 或 JailRoot 的共享服务器上。您可以显示将会话存储在数据库中，而不是默认文件系统存储。

通过这三个实现，让我看看那个声称​​要破解用户会话的黑客......

Answer 2

<?php

session_start();
$con=mysql_connect("localhost","root","");
$seldb=mysql_select_db('myfreind', $con);
$email=$_POST['txtEmail'];
$password=$_POST['txtPass'];
$res=mysql_query("SELECT `id`, `FirstName`, `LastName`, `Address`, `Password`, `Repassword`, `Birthday`, `Gender` FROM `registration` WHERE 
`Password`='$password' and  `FirstName`='$email'");
$num=mysql_num_rows($res);

if($num==1)
{
$row=mysql_fetch_array($res);
$id=$row['id'];
$firstname=$row['FirstName'];
$_SESSION['id']=$id;
$_SESSION['FirstName']=$firstname;
//echo $_SESSION['id'];
header('Location:main.php');
}else

{

header('Location:index.php?error');
}

?>

Answer 3

选择要上传的图片： "; $res=mysql_query("SELECT `id`, `FirstName`, `LastName`, `Address`, `Password`、`Repassword`、`Birthday`、`Gender`、`user_image` FROM `registration`") 或死(mysql_error()); 而($row=mysql_fetch_array($res)) { $id=$row['id']; $firstname=$row['FirstName']; $user_image=$row['user_image']; $page.=" $名"; } $page.=" "; $res_post=mysql_query("选择 post_info.post_info_id, post_info.id，post_info.post_info_desc，registration.FirstName FROM `post_info` 加入`registration` WHERE post_info.id = registration.id order by post_info.post_info_id desc") 或 die(mysql_error()); 而($row_post=mysql_fetch_array($res_post)) { $post_id = $row_post ['post_info_id']; $post_desc = $row_post ['post_info_desc']; $id = $row_post ['id']; $FirstName = $row_post ['FirstName']; $page.="

$FirstName

$post_desc

---

"; } $page.=" "; 包括（'include/main_file.php'）； ?>

Answer 4

首先，您在会话重新生成代码中有一个错误。以下 if 将始终评估为 true：

if ($rand != 1 || $rand != 3 || $rand != 5)

如果$rand 是非 1，则返回true。如果$rand 是 1，那么它不是3，它返回true。您可能打算在这里使用and。

其次，您不需要对user_ip 或user_agent 字符串进行MD5。如果有人可以直接访问您服务器上的会话数据，那么您已经深入其中，以至于散列该数据不会拯救您。

澄清：正如 SDC 和 crush 在 cmets 中指出的那样，MD5 适合散列密码如果你用盐散列它。这意味着您的用户密码通常仍然是安全的，即使 SQL 注入攻击成功并且您的数据库暴露给全世界。 但是， 如果您的服务器被入侵，并且 salt 被入侵，那么就有可能生成一组已知的哈希值，并尝试反向查找特定密码。底线？用盐对您的用户密码进行哈希处理。

第三，大多数安全漏洞并非来自欺骗会话。它们来自糟糕的输入检查。像Essential PHP Security 这样的书应该很好地介绍了您应该在 PHP 项目中进行的那种输入检查。做不到这一点，至少阅读security section of the PHP Manual。注意 SQL 注入位。很酷！

最后，我完全同意另一位发帖人的观点，即您应该使用 SSL 来保护与您网站的通信。

Answer 5

说实话，我认为你过于谨慎了，但并不是很有用。

如果您真的担心会话安全，请不要尝试自己做。使用像Suhosin 这样的PHP 安全补丁。让它为您完成所有艰苦的工作。 Suhosin 是一个成熟的 PHP 补丁。它包括处理 PHP 会话可以被黑客入侵的所有方式的东西。如果你已经安装了它，那么你不需要做任何额外的事情来保护你的会话。如果您没有安装它，那么您绝对不能声称对安全性超级偏执！

简而言之，安装 Suhosin（如果您还没有安装的话），然后忘记它。

但为了完整起见，我将在您的实际代码中添加一些 cmets，以指出几点：

我不确定为什么您认为 MD5 散列会有所不同。 MD5 哈希可以在几秒钟内破解，因此将它们用于任何类型的安全功能都是完全任意的。它也可以是纯文本。也就是说，我真的不认为它们需要成为纯文本以外的任何东西——如果黑客设法获取会话数据以便能够读取其中包含的 IP 地址，那么你就是已经不用担心他们是否知道IP地址了。

Answer 6

会话安全风险来自三种不同的可能性：

• 预测
• 捕获
• 固定

预测意味着不是为其创建会话的用户的某个人猜测了他们的会话 ID。发生这种情况的可能性几乎为 0，尽管随着更多用户同时使用该网站，这种可能性确实会增加。

使用您的代码，您可以降低风险，因为只有在攻击者共享用户代理和预测会话的 ip 时它才会起作用。但在这种情况下，差异是微不足道的。

固定意味着攻击者可以创建一个会话，然后强制另一个用户使用他们的会话。在这种情况下，这取决于：如果攻击者知道您正在这样做并且他们伪造了用户代理和客户端的 IP，他们可以固定会话。或者如果他们共享 ip 和用户代理。

最后我们有了会话劫持，这可能是三者中最常见的方法。在这种情况下，攻击者会以某种方式获得对有效登录用户的会话 ID 的访问权，然后使用它登录到他们的帐户。与之前的方法一样，只有当他们知道您正在检查 ip 和用户代理并伪造与用户相同的内容时，这才对他们有效。您使用的技术不是唯一的，一些攻击者可能会伪造它们以防万一。

---

话虽如此，它安全吗？ 是和否

如果你痴迷于安全，答案总是一样的：使用 SSL

除非您的代码是开源的，否则您所做的几乎任何改变 php 会话行为的操作都足够安全。

唯一的例外是会吸引黑客注意力的非常受欢迎的网站。

有一些关于这个主题的非常好的文档：

• http://phpsec.org/projects/guide/4.html
• PHP Session Security
• http://www.squarefree.com/securitytips/web-developers.html#CSRF

Answer 7

我不是安全专家。但是，我怀疑您的安全执法是否会带来实质性好处。

如果有人可以窃取您用户的会话 ID，例如通过窃听未加密的无线网络，我敢打赌他也可以窃取您的用户在验证时发送到您服务器的用户名和密码。一旦他获得了访问凭据，攻击者就可以在第二天或一周后登录，并且可以使用他的“安全”且 100% 有效的会话。

我相信没有通道安全就没有会话安全。如果您使用 SSL，请确保会话 ID 仅通过 cookie 发送（您已经这样做了）并且您的会话很快就会过期，我相信您是相当安全的，并且比执行这些强制更安全在不安全的频道上。