nikosch

Hallo Forum,

ich hab ne Frage zu Sessions und PHPs header() funktion. Möglicherweise fehlt mir irgendwie das grundlegende Verständnis:

Ich benutze eine templatebasierte Seite, die nur über eine Datei index.php und GET Parameter alle Inhalte dynamisch einbindet. Hier findet auch der Session Mechanismus statt.

So wollte ich den Tipp aus dem Buch PHP Sicherheit beherzigen, um das Auftauchen der SessionID im Referrer verlinkter externer Seiten verhindern. Der Code (geändert auf die alten HTTP_*_VARS Arrays)

steht in einer Datei (load.php), die mit einer URL als page Parameter aufgerufen wird. Enthält GET noch eine Session ID ruft sich das Script selbst auf, sonst direkt den übergebenen Link.
Das Problem ist, es funktioniert nicht. Irrt hier also der Autor? Zur Kontrolle rufe ich ein lokales Script auf, das die $GLOBALS und damit den Referrer ausgibt. Darin steht jedoch nicht 'load.php' sondern das Script index.php welches load.php aufruft, inklusive Session ID und weiterer Parameter. Die ID wird definitiv nicht über Cookies übertragen, da der entsprechende Eintrag des SERVER Arrays in diesem Falle auftaucht (experimentell ermittelt).

Kann es sein, daß der HTTP Header Location eine Art Reload ausführt, sodaß load.php gar nicht in den Referrer gelangen kann? Und hat jemand eine alternative Idee? Kann es mit einer alten PHP-Version 4.0.6 oder mit der lokalen Umgebung zusammenhängen?

Danke im Voraus.
--n

Mister Ad

nikosch

Ich brauch hier echt Hilfe. Hab weiteres ausprobiert. Firefox mit definitiv ausgeschalteten Cookies zeigt die Session ID brav im URL an, von load.php werden definitiv beide Zweige durchlaufen (z.B. wird bei Ausgabe von $GLOBALS - was natürlich den Location-Header stört - als GET Paramter eben die übermittelte Page angezeigt), aber im Referer steht wieder index.php?sessID=... usw.

Ich dachte, es könnte ein Nebeneffekt der lokalen Webserverumgebung sein, deshalb habe ich das per page= zu ladenede Script auf einen zweiten Webspace gelegt und wieder zeigt mir die Ausgabe von $GLOBALS dort schön die Session ID.

keine Idee??
Könnte es mit dem REDIRECT (302) Statuscode zusammenhängen, den der Location Header laut PHP Handbuch mitschickt?

Basti

Hi.

Ich kann von dem Rechner hier gerade selbst keine Tests ausführen, aber schau dir das Ganze doch mal mit Telnet an oder auch entsprechenden Firefox-Erweiterungen, die dir zeigen, welche Header da rumgeschickt werden.

Prinzipiell solltest du mal deine PHP-Version upgraden.

Und, stimmt der Name der Session: "sessID"?

Ach ja, und warum "page"? Sind die externen Links alle Seiten? Keine news-Links, Archive, News-Feedas etc.?

Basti

nikosch

Hab jetzt mal den WebScarab bemüht, die Sache ist noch etwas komplizierter. Der erste IF Zweig wurde nicht durchlaufen. Schließlich wird dieSessionID ja auch nicht per GET übergeben sondern durch session.trans_sid_id. Da scheint ein Unterschied zu bestehen. Deshalb hab ich die Sache auf eine Auswertung von HTTP_SERVER_VARS[HTTP_REFERER] geändert, aber auch hier gabs keinen Erfolg sondern ne Endlosschleife.

In der load.php steht jetzt auch ein ini_set('session.use_trans_sid' , 0);

Desweiteren hab ich probiert per header('Referer: ',true); einen leeren Referer zu übergeben.
Mein nächster Versuch galt fsockopen aber da stören mich die Header die mit ausgegeben werden und überthaupt ist das Verhalten der Seiten höchst unterschiedlich (Bilder werden nicht nachgeladen usw.). Aber das Problem mit dem Referer scheint dann nicht aufzutreten.

sessID ist korrekt, ebenso daß nur Websites Ziel des Location: headers sein sollen

Auf die PHP Version habe ich leider keinen Einfluß. Lokal hab ich die nur als Zweitversion, um unter den realistischen Bedingungen des Zielwebspace zu programmieren.

nikosch

Ok, vergeßt bitte schnell, daß ich das mit dem header('Referer: ') versucht habe. Komme langsam auch schon durcheinander ob ich nun Server oder Client repräsentiere (kein Wunder den ich bin beides zugleich...)

Hab jetzt in nem Selfhtml Archiv gefunden, daß der location header Aufruf stets nur ein Redirect produziert und sich damit nie der Referer ändern kann:
(http://forum.de.selfhtml.org/archiv/2004/6/t82733/)
Klingt eigentlich ziemlich logisch und so werde ich mich jetzt einzig und allein auf Meta-Refresh + Link für den Notfall beschränken.

Wer trotzdem irgendwann nochmal ne ordentlich Lösung für Seitenaufrufe mit fsockopen bieten kann - und damit meine ich ohne den ganzen Header Schnickschnack oder ominöse Hexzahlen im Quelltext - kann das ja mal posten.

Bis dann --n

CIX88

Wie sah denn dieser Versuch überhaupt aus ?

nikosch

Eine Abwandlung der POST per fsockopen Geschichte ähnlich dem hier:
http://www.php-faq.de/q/q-code-post.html