[Zaszczyk]

#webdev #php Mireczki-programisty, spotkałem się dzisiaj z zagadnieniem kradnięcia sesji/sessio-hijacking. Wydaje mi się, że aby temu zapobiec należy co jakiś czas (np. 30 minut) użyć funkcji sessionregenerateid(). Czy to ma sens? Jak wy robicie?

[G.....n]

@Zaszczyk: Powiąż sesję z adresem IP.

[surma]

@Zaszczyk: sprawdzaj odcisk przeglądarki oraz adres IP

[z.....e]

@Zaszczyk: warto też ustawić flagę httpOnly by uchronić się atakami przez XSS.

[handler]

@Zaszczyk: zależy co masz na myśli, bo można kraść na źle skonfigurowanych shared hostach, a jeśli jakieś self-solution to ip +ewentualnie user agent

[Zaszczyk]

no dobra, mogę zapisywać jakiś odcisk i go sprawdzać. Ale gdy on się nie zgadza to wtedy logout czy sessionregenerateid()? @surma gdzie ustawić httpOnly? W ciastku? Korzystam z tego że sesje same tworzą ciastka.

[s.....k]

@Zaszczyk: jak się nie zgadza, to sesji nie powiążesz z żadnym klientem