$_SESSION Variable von extern manipulierbar? - Seite 2

24.12.2011, 20:50

Zitat:

Zitat von Neo68X

Kann <BadBoy> von extern oder mit einem "fingiert registrierten Benutzerkonto" SessionDaten von A bzw. B oder anderen anmeldeten Benutzern betrachten bzw. manipulieren? Wenn das nicht geht, ist "alles gut" ...

Wenn <badboy mit Ahnung> an die session_id eines anderen Users rankommt, isses zu spät.

Deshalb:
1. die session_id darf nie im URL auftauchen (also SessionKeks-Betrieb)
2. keine fremden JS verwenden, bei denen die Gefahr des "Keks-Klau" besteht.

lstegelitz · 25.12.2011, 15:38

Keiner ist davor gefeit, das ihm die Session "geklaut" wird, wenn der böse Bube die Session ID hat. Das kann man auch nicht absichern.
Aber damit wird "nur" eine Session geklaut.

Jens Clasen hat mit der Code Injection Lücke die entscheidende Antwort gegeben. Ein schlecht abgesicherter eval() Befehl, oder eine "local file inclusion" Lücke, und schon wars das. Was ab dann passiert, liegt im Ermessen des <badboy> da er beliebigen Code ausführen kann... und dann bleibt es nicht mehr bei einer verlorenen Session, damit kann er sich auch eine Auflistung aller laufenden Sessions inklusive Inhalt erstellen lassen (ER ist dann der Gott im System).

Neo68X · 27.12.2011, 14:37

@meikel: Alle relevanten Daten werden soweit nur via POST-Methode übertragen oder in $_SESSION-Vars gespeichert. JS wird auf das maximale Minimum beschränkt und ich verwende keine Klassen irgendwelcher Art. Soweit ist alles Hand-Made.

@istegelitz: Mal angenommen die Session_ID bleibt für BadBoy "unerreicht", eval() wird NICHT zum Einsatz kommen, Includes werden immer OHNE Verwendung von Variablen direkt deklariert, alá: include "myinclude.php";, dann sollte ich doch schon relativ sicher unterwegs sein - oder !?!?

Natürlich kann ich nichts gegen irgendwelche "unbekannten" Systemlücken machen. Man kann ja immer nur versuchen es der Gegenpartei so "schwer wie Möglich" zu machen ... vielleicht hat ja einer von euch Lust mal nen Teilzeithacker zu mimen, sobald ich das Grundgerüst stehen habe.

Danke euch allen soweit.

Gruß
Frank

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Variable später nicht mehr definiert?	Rollschuh	PHP Einsteiger	12	08.10.2011 18:20
PHP Text wird nicht ausgegeben / Notice: undefined variable	MBaaboura	PHP Einsteiger	26	26.09.2011 11:09
[Erledigt] Mehrere Querys hintereinander funktionieren nicht	wernersbacher	Datenbanken	3	14.03.2011 23:08
[Erledigt] Variable in foreach erweitern ohne zurücksetzen	Polliny	PHP Tipps 2010	2	23.06.2010 10:13
[Erledigt] sql - Variable ??	Exception	PHP Tipps 2010	9	20.02.2010 04:03
Problem Undefined variable:	banbanban	PHP Tipps 2009	5	04.03.2009 17:55
Variable per Session übergeben? Spricht etwas dagegen?	Lapje	PHP Tipps 2008	6	20.10.2008 21:49
Undefined variable Undefined property: block	xxJJxx	PHP Tipps 2008	16	05.08.2008 15:30
Variable in SQL Anweisung verwenden	Beatbox	PHP Tipps 2006	2	08.08.2006 16:32
variable wird nich erkannt.	Marian	PHP Tipps 2006	1	03.04.2006 21:25
Variable durch 2. Variable bestimmen	Quagga	PHP Tipps 2005-2	11	26.10.2005 17:34
Variable als Variable behandeln ohne den Wert zu verwenden	Pain-maker	PHP Tipps 2005-2	4	11.09.2005 17:28
Variable in einer Variable	Beatbox	PHP Tipps 2005	7	15.01.2005 15:55
Warum wird Variable nicht übergeben???	Anuschka	PHP Tipps 2005	2	06.01.2005 13:22
Auf Variable in extern gelagerter Funktion verwenden		HTML, Usability und Barrierefreiheit	6	09.09.2004 14:05


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

25.12.2011, 15:38
lstegelitz Erfahrener Benutzer Registriert seit: 07.09.2009 Beiträge: 4.005 PHP-Kenntnisse: Fortgeschritten	Keiner ist davor gefeit, das ihm die Session "geklaut" wird, wenn der böse Bube die Session ID hat. Das kann man auch nicht absichern. Aber damit wird "nur" eine Session geklaut. Jens Clasen hat mit der Code Injection Lücke die entscheidende Antwort gegeben. Ein schlecht abgesicherter eval() Befehl, oder eine "local file inclusion" Lücke, und schon wars das. Was ab dann passiert, liegt im Ermessen des <badboy> da er beliebigen Code ausführen kann... und dann bleibt es nicht mehr bei einer verlorenen Session, damit kann er sich auch eine Auflistung aller laufenden Sessions inklusive Inhalt erstellen lassen (ER ist dann der Gott im System). __________________ Über 90% aller Gewaltverbrechen passieren innerhalb von 24 Stunden nach dem Konsum von Brot.

27.12.2011, 14:37
Neo68X Neuer Benutzer Registriert seit: 31.10.2011 Beiträge: 19 PHP-Kenntnisse: Anfänger	@meikel: Alle relevanten Daten werden soweit nur via POST-Methode übertragen oder in $_SESSION-Vars gespeichert. JS wird auf das maximale Minimum beschränkt und ich verwende keine Klassen irgendwelcher Art. Soweit ist alles Hand-Made. @istegelitz: Mal angenommen die Session_ID bleibt für BadBoy "unerreicht", eval() wird NICHT zum Einsatz kommen, Includes werden immer OHNE Verwendung von Variablen direkt deklariert, alá: include "myinclude.php";, dann sollte ich doch schon relativ sicher unterwegs sein - oder !?!? Natürlich kann ich nichts gegen irgendwelche "unbekannten" Systemlücken machen. Man kann ja immer nur versuchen es der Gegenpartei so "schwer wie Möglich" zu machen ... vielleicht hat ja einer von euch Lust mal nen Teilzeithacker zu mimen, sobald ich das Grundgerüst stehen habe. Danke euch allen soweit. Gruß Frank __________________ Wenn man weiß wie es geht, ist es auf einmal sau einfach ...