Session - Sicherheitsfrage

function · 28.05.2005, 06:26

also erstmal muss ich sagen 100%ig scher ist nichts

aber sessions sind schon mit der beste weg eine seite sicher zumachen, allerdings würde ich empfehlen mit cookies zuarbeiten - ich persönlich finde es schöner und der user kommt auhc nciht in versuchung einfach etwas in der url zuverändern um etwas zuverändern.
problem mit cookies ist einfahc nur das das nicht jeder aktiviert hat und so nicht jeder auf anhieb die seite voll nutzen kann (es gibt immer n00bs, die das mit den cookies nicht alleine gebacken bekommen und sich deshalb an den seiten admin wenden

)

Stümper · 28.05.2005, 10:15

Hallo,

ich verwende Sessions, um einen Bereich nur bestimmten Nutzern zugänglich zu machen.

Ich verwende dazu eine Session. Dh. konkret:

Der Benutzer gibt seine Angaben in ein Formular ein, das von einem Script verarbeitet wird. Dabei werden die Angaben des Benutzers mit Angaben auf dem Server verglichen. Sind sie pbereinstimmend, wird im Session-Array eine entsprehende MArke gesetzt. Sind die angaben falsch, wird die Session sofort zerstört.

Ruft der korrekt eingeloggte Nutzer eine weitere Seite im geschützten Bereich auf, wird gecheckt, ob die Marke korrekt gesetzt ist. Dies passiert ja nur, wenn er sich erfolgreich eingeloggt hat. Ist sie nicht gesetzt, werden ihm die geschützten Infos nicht angezeigt.

Hört sich das sicher an? Habe ich was vergessen?

Muss ich explizit festlegen, ob die ID über die URL oder Cookies übergeben wird??

28.05.2005, 13:51

Zitat:

Habe ich was vergessen?

Ja. PHP löscht das Sessionfile nicht sofort sondern erst dann, wenn es Zeit hat.

Stümper · 28.05.2005, 16:44

Das heisst, die Session bliebt quasi aktiv bis PHP das File löscht?

Was kann ich dagegen tun ausser session_destroy()?

axo · 28.05.2005, 17:00

Zitat:

Zitat von Stümper

Das heisst, die Session bliebt quasi aktiv bis PHP das File löscht?

Was kann ich dagegen tun ausser session_destroy()?

nichts.

28.05.2005, 17:05

Zitat:

Zitat von Stümper

Das heisst, die Session bliebt quasi aktiv bis PHP das File löscht?

Nicht aktiv. Das Sessionfile mitsamt den Sessiondaten existiert so lange, bis PHP die Müllentsorgung loschickt.

Zitat:

Was kann ich dagegen tun ausser session_destroy()?

Die Sessiondaten löschen:

PHP-Code:

  <?php

$_SESSION = array();

session_write_close();

?>

Dann hat der User zwar noch eine Session, aber keine Daten.

28.05.2005, 17:08

Ich möchte selber ein Session-Managment programmieren, mithilfe einer Datanbank...
Auch was muss ich da genau achten? IP zu speichern bringt wohl nicht sehr viel, aber wie kann ich Session-Klau verhindern?

Stümper · 28.05.2005, 17:09

das Risiko gehe ich ein.

noch eine Frage: wenn ich cookies bei meinem Browser deaktiviere, geht die session nicht mehr.

session.use_only_cookies ist aber auf off (sowohl lokal als auch master). Sollte er nicht automatisch die ID per URL übergeben, wenn der Browser keine Cookies zulässt?

oder hat das damit zu tun, dass session.use_trans_sid auf 0 eingestellt ist, also die session nicht per URL übergeben werden darf?

ich glaube, es ist sowieso ratsamer, es nur mit cookies zuzulassen, oder?

Stümper · 28.05.2005, 17:28

@Meikel: wenn ich es nach deinem Beispiel mache, bin ich also auf der sicheren Seite, weil sämtliche sessiondaten gelöscht werden?

robo47 · 28.05.2005, 18:42

mal anschauen: wie sessions ohne und mit cookies funktionierne und man ein system schafft damit umzugehen:

http://php-faq.de/q/q-sessions-fallback.html

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
[Erledigt] Session Problem	karina_02	PHP Tipps 2008	6	18.05.2008 22:37
Session Variablen als Referenz!? O_o	Sam781	PHP-Fortgeschrittene	4	01.10.2007 11:19
Problem bei session Lifetime	Cyberbob_at_tot	PHP Tipps 2007	5	05.06.2007 17:47
session nach seitenwechsel leer...	GELight	PHP Tipps 2006	8	17.09.2006 15:17
Frage zur Anwendung einer Session mehrfach...	GELight	PHP Tipps 2006	10	12.03.2006 16:47
[Erledigt] php session problem :(		PHP Tipps 2005-2	5	21.10.2005 16:37
Session abschaltbar?? Probleme mit Objekten in Session!	becks123	PHP-Fortgeschrittene	3	19.09.2005 15:47
Klassenobjekt in ner Session speichern?!	Finkman	PHP Tipps 2005-2	5	09.08.2005 00:38
Session wird nicht angelegt		PHP Tipps 2005-2	7	24.07.2005 13:35
Kreieren einer Session		PHP Tipps 2005	11	28.05.2005 15:16
Session error nach Umstellung auf PHP 5		PHP Tipps 2005	15	13.05.2005 14:35
verliere Session	Sonja	PHP Tipps 2005	3	27.04.2005 09:32
[Erledigt] Formulardaten in einer Session speichern, per Link übergeben		PHP Tipps 2004-2	2	29.12.2004 15:47
[Erledigt] Hilfe...PhpBB Session Problem!!		PHP Tipps 2004-2	2	15.12.2004 18:28
$_GET und Session		PHP Tipps 2004	9	20.06.2004 19:17

28.05.2005, 06:26
function Erfahrener Benutzer Registriert seit: 11.07.2004 Beiträge: 269	also erstmal muss ich sagen 100%ig scher ist nichts aber sessions sind schon mit der beste weg eine seite sicher zumachen, allerdings würde ich empfehlen mit cookies zuarbeiten - ich persönlich finde es schöner und der user kommt auhc nciht in versuchung einfach etwas in der url zuverändern um etwas zuverändern. problem mit cookies ist einfahc nur das das nicht jeder aktiviert hat und so nicht jeder auf anhieb die seite voll nutzen kann (es gibt immer n00bs, die das mit den cookies nicht alleine gebacken bekommen und sich deshalb an den seiten admin wenden ) __________________ Es ist ein großer Trost, andere dort scheitern zu sehen, wo man selbst gescheitert ist. (William Somerset Maugham)


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

28.05.2005, 10:15
Stümper Erfahrener Benutzer Registriert seit: 30.07.2004 Beiträge: 255	Session - Sicherheitsfrage Hallo, ich verwende Sessions, um einen Bereich nur bestimmten Nutzern zugänglich zu machen. Ich verwende dazu eine Session. Dh. konkret: Der Benutzer gibt seine Angaben in ein Formular ein, das von einem Script verarbeitet wird. Dabei werden die Angaben des Benutzers mit Angaben auf dem Server verglichen. Sind sie pbereinstimmend, wird im Session-Array eine entsprehende MArke gesetzt. Sind die angaben falsch, wird die Session sofort zerstört. Ruft der korrekt eingeloggte Nutzer eine weitere Seite im geschützten Bereich auf, wird gecheckt, ob die Marke korrekt gesetzt ist. Dies passiert ja nur, wenn er sich erfolgreich eingeloggt hat. Ist sie nicht gesetzt, werden ihm die geschützten Infos nicht angezeigt. Hört sich das sicher an? Habe ich was vergessen? Muss ich explizit festlegen, ob die ID über die URL oder Cookies übergeben wird?? __________________ Zerstört alle Computer!

28.05.2005, 16:44
Stümper Erfahrener Benutzer Registriert seit: 30.07.2004 Beiträge: 255	Das heisst, die Session bliebt quasi aktiv bis PHP das File löscht? Was kann ich dagegen tun ausser session_destroy()? __________________ Zerstört alle Computer!

28.05.2005, 17:08
Gast Beiträge: n/a	Ich möchte selber ein Session-Managment programmieren, mithilfe einer Datanbank... Auch was muss ich da genau achten? IP zu speichern bringt wohl nicht sehr viel, aber wie kann ich Session-Klau verhindern?

28.05.2005, 17:09
Stümper Erfahrener Benutzer Registriert seit: 30.07.2004 Beiträge: 255	das Risiko gehe ich ein. noch eine Frage: wenn ich cookies bei meinem Browser deaktiviere, geht die session nicht mehr. session.use_only_cookies ist aber auf off (sowohl lokal als auch master). Sollte er nicht automatisch die ID per URL übergeben, wenn der Browser keine Cookies zulässt? oder hat das damit zu tun, dass session.use_trans_sid auf 0 eingestellt ist, also die session nicht per URL übergeben werden darf? ich glaube, es ist sowieso ratsamer, es nur mit cookies zuzulassen, oder? __________________ Zerstört alle Computer!

28.05.2005, 17:28
Stümper Erfahrener Benutzer Registriert seit: 30.07.2004 Beiträge: 255	@Meikel: wenn ich es nach deinem Beispiel mache, bin ich also auf der sicheren Seite, weil sämtliche sessiondaten gelöscht werden? __________________ Zerstört alle Computer!

28.05.2005, 18:42
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	mal anschauen: wie sessions ohne und mit cookies funktionierne und man ein system schafft damit umzugehen: http://php-faq.de/q/q-sessions-fallback.html __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework