Sikkerhed

Jeg vil tilføje noget... Bruger du sessions så er det sgu svært at komme forbi, hvis du udnøtter det! På min hjemmeside www.Teamsf.frac.dk har jeg et login, og der har jeg lavet et ban system, så hvis en prøver at gå forbi, vil jeg få hans ip-adresse og hostname, og efter hvad jeg ved er ingen sluttet forbi..

---------------------------------
www.teamsf.frac.dk
www.EJ-Computer.dk | Your PC entertainer

Hvis han bynytter sig af en proxy server vil det ikke være muligt. Du vil få noget ubrugeligt.

HAHA! prøvede lige med min ejen ip så hvis du ser noget var det bare mig (nej ville ikke lave noget rolig!)

[Redigeret d. 06/07-05 22:40:35 af Rasmus Hamberg]

Tak!! For de forskellige kommentare, vil se efter om jeg kan benytte dem.

Ja jeg bruger sessions til mine sikkerheds huler. og er blevet informeret om hvordan jeg kan sikrer mit system endnu mere, altså spærer de nu kommende sikkerheds huler....


-veile-
www.e-playcity.dk
Det er besøget hver!!

Jeg vil tilføje noget... Bruger du sessions så er det sgu svært at komme forbi, hvis du udnøtter det! På min hjemmeside www.Teamsf.frac.dk har jeg et login, og der har jeg lavet et ban system, så hvis en prøver at gå forbi, vil jeg få hans ip-adresse og hostname, og efter hvad jeg ved er ingen sluttet forbi..

---------------------------------
www.teamsf.frac.dk
www.EJ-Computer.dk | Your PC entertainer

Når man fx bruger sessions kan et sikkerhedshul være at man glemmer at kalde session_regenerate_id() når brugeren logges ind. Hvis funktionen ikke kaldes, kan det være muligt for en hacker at blive "logget med ind" når en bruger logges ind. Det er bare et eksempel på et eventuelt sikkerhedshul. Der kan være mange flere.

Arbejder selv på et login system for tiden så tænkte på hvordan man fikser dette problem?

Mvh.
Rune Jensen
---------------------------------------------------------------------------
##The one who laugh last is the one who think slowest!##
---------------------------------------------------------------------------

Når man fx bruger sessions kan et sikkerhedshul være at man glemmer at kalde session_regenerate_id() når brugeren logges ind. Hvis funktionen ikke kaldes, kan det være muligt for en hacker at blive "logget med ind" når en bruger logges ind. Det er bare et eksempel på et eventuelt sikkerhedshul. Der kan være mange flere.

Jeg forstår ikke helt hvad du mener med at en angriber kan "blive logget med ind".
Siger du, at når man kalder PHP's session_start(), at den så vil spytte samme session id ud til to forskellige brugere?

Mvh,

Thomas Nielsen

Når man fx bruger sessions kan et sikkerhedshul være at man glemmer at kalde session_regenerate_id() når brugeren logges ind. Hvis funktionen ikke kaldes, kan det være muligt for en hacker at blive "logget med ind" når en bruger logges ind. Det er bare et eksempel på et eventuelt sikkerhedshul. Der kan være mange flere.

Jeg forstår ikke helt hvad du mener med at en angriber kan "blive logget med ind".
Siger du, at når man kalder PHP's session_start(), at den så vil spytte samme session id ud til to forskellige brugere?

Mvh,

Thomas Nielsen

Nej. det handler om at en hacker vil kunne starte en ny session, og ved et link kan man så overføre denne session til en bruger, og hvis brugeren så logger ind efter at have fulgt dette link, har man problemet. Jeg har læst det på http://phpsec.org/ men kan ikke lige finde artiklen igen.

[Redigeret d. 08/07-05 15:07:50 af Jesper Kristensen]

Nej. det handler om at en hacker vil kunne starte en ny session, og ved et link kan man så overføre denne session til en bruger, og hvis brugeren så logger ind efter at have fulgt dette link, har man problemet. Jeg har læst det på http://phpsec.org/ men kan ikke lige finde artiklen igen.

[Redigeret d. 08/07-05 15:07:50 af Jesper Kristensen]

Okay, så er jeg med

Angrebet du beskriver kaldes "Session fixation attack".
http://shiflett.org/articles/security-corner-feb2004

Mvh,

Thomas Nielsen