php session安全吗?如何建一个安全的会话机制?
PHPz
PHPz 2017-04-10 14:27:23
[PHP讨论组]

研究了几天session安全,得出几个观点,请指正:

  1. 可以xss通过获得cookie信息,包含sessionid
  2. 可以通过截取http,获得header信息,包含sessionid
  3. 以上两种法都有一定条件和难度
  4. 如果服务端单靠sessionid识别会话信息,那么通过xss获取了sessionid后,会泄露用户信息,如果再通过ip,useragent信息加以校验,可以减少风险
  5. 如果截取了http,换用https方式可以减少风险
  6. 即便是使用https,ssl证书也是可以伪造

结论:

  1. xss漏洞更低级一些,但是造成的风险很大。
  2. http截取,截取范围很小,风险小。当然,截取到admin的信息,那就不一样了。
  3. http截取/ssl证书伪造的技术要求、环境要求较高,防治的成本也大。
PHPz
PHPz

学习是最好的投资!

全部回复(0)
热门教程
更多>
最新下载
更多>
网站特效
网站源码
网站素材
前端模板
关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新
php中文网:公益在线php培训,帮助PHP学习者快速成长!
关注服务号 技术交流群
PHP中文网订阅号
每天精选资源文章推送

Copyright 2014-2026 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号