Zneuzitie sessionID – PHP – Fórum – Programujte.com

Povedzme ze sa mi podari ziskat sessionID uzivatela pomocou XSS alebo ineho utoku. (pravdepodobne vyuzitim funkcie document.cookie() v javaskripte).

Ako mozem nasledne ukradnute sessionID zneuzit ???

Nepytam sa to pre potrebu hackingu ale pre zlepsenie vlastnych web security znalosti

Dik

:D Mne sa zdá, že SID sa moc nedá zneužiť.

Btw: Ako vidím, dllllho ti nikto neodpovedal, tak mi ťa bolo ľúto :)

priklad http://www.security-portal.cz/clanky/php---bezpecne-programovani.html

double napsal:
priklad http://www.security-portal.cz/clanky/php---bezpecne-programovani.html

Tocimanko napsal:
:D Mne sa zdá, že SID sa moc nedá zneužiť.

Btw: Ako vidím, dllllho ti nikto neodpovedal, tak mi ťa bolo ľúto :)

SessionID mívá omezenou živnotnost, ale pokud bys získal právě aktuální URL s sessionID nějaké osoby, která je přihlášená, byl bys přihlášený taky, atd.

dalaman napsal:
POdla mna ked si vypnes cookies a prides na web kde si predchvilou ziskal niekoho SID (cize su sessions na serveri stale aktivne) a pridas do URL ..?PHPSESSID=(to co si ziskal) tak by sa to zneuzit mozno dalo

???

Hmm, nj, vyzerá to zaujímavo. Ale i tak, SESSID expiruje po nejakom čase a aj keby si sa predsa zmocnil cudzieho SESSID, pochybujem, že by si dokázal využiť tým pádom registrované premenné (iného užív.) . Teda neskúšal som to. Ale Zelenáč+Survik1 vraj áno ;)

To Zelenáč : Když o tom tak mluvíme, našel jsem, kam se v FF Sessions ukládají, princip je stejný jako u cookies, ale nedají se zakázat, tak proto =) Kdyžtak po icq.

Chces povedat ze ked si vypnem cookies tak sa mi session budu do cookies stale ukladat :) ? zaujimave... Plati to len pre firefox ?

To dalaman: SESSIONs sú na strane servera. To vypnúť nemôžeš. Cookies vypnúť môžeš. V tom prípade sa ti už ukladať nebudú ;)
To survik1: Môžeš mi pls povedať, kde si to našiel (vo FF) ?? Aj ja som to prednedávnom objavil, ale zabudol som že kde :D Díky.

no tak to by aj mňa zaujímalo