Jedną z wytycznych jest wywoływanie session_regenerate_id za każdym razem, gdy zmienia się poziom bezpieczeństwa sesji. Pomaga to zapobiec przechwytywaniu sesji.

Moje dwa (lub więcej) grosze:

• nie ufaj nikomu
• Filter input, escape output (cookie, dane sesji są również Twoim wejściem)
• unikaj XSS (zachowaj dobrze uformowany HTML, spójrz na PHPTAL lub HTMLPurifier)
• obrona w głębi
• nie ujawniaj danych

Istnieje mała, ale dobra książka na ten temat: Essential PHP Security autorstwa Chrisa Shifletta .

Podstawowe zabezpieczenia PHP http://shiflett.org/images/essential-php-security-small.png

Na stronie głównej Książki znajdziesz kilka ciekawych przykładów kodu oraz przykładowe rozdziały.

Możesz użyć techniki wymienionej powyżej (IP & UserAgent), opisanej tutaj: Jak uniknąć kradzieży tożsamości

Myślę, że jednym z głównych problemów (który jest rozwiązywany w PHP 6) jest register_globals. Obecnie jedną ze standardowych metod stosowanych w celu uniknięcia register_globals jest użycie $_REQUEST, $_GET lub $_POST tablice.

"poprawny" sposób na to (od 5.2, chociaż jest tam trochę buggy, ale stabilny od 6, który wkrótce się pojawi) jest za pomocą filtrów .

Więc zamiast:

$username = $_POST["username"];

Zrobiłbyś:

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

Lub nawet po prostu:

$username = filter_input(INPUT_POST, 'username');

Ten papier utrwalający sesję ma bardzo dobre wskazówki, gdzie może nadejść atak. Zobacz też strona utrwalania sesji w Wikipedii .

Używanie adresu IP nie jest najlepszym pomysłem z mojego doświadczenia. Na przykład; moje biuro ma dwa adresy IP, które są używane w zależności od obciążenia i stale napotykamy problemy z użyciem adresów IP.

Zamiast tego zdecydowałem się na przechowywanie sesji w oddzielnej bazie danych dla domen na moich serwerach. W ten sposób nikt w systemie plików nie ma dostępu do informacji o sesji. To było naprawdę pomocne w phpBB przed 3.0 (oni od tego czasu naprawili to), ale to nadal dobry pomysł, myślę.

Jest to dość trywialne i oczywiste, ale pamiętaj, aby session_destroy po każdym użyciu. Może to być trudne do zaimplementowania, jeśli użytkownik nie wyloguje się jawnie, więc można ustawić timer, aby to zrobić.

Oto dobry tutorial na setTimer() i clearTimer ().

Główny problem z sesjami PHP i zabezpieczeniami (oprócz przechwytywania sesji) wiąże się z tym, w jakim środowisku się znajdujesz. Domyślnie PHP przechowuje dane sesji w pliku w katalogu tymczasowym systemu operacyjnego. Bez specjalnej myśli lub planowania jest to katalog czytelny dla świata, więc wszystkie informacje o sesji są publiczne dla każdego, kto ma dostęp do serwera.

Co do utrzymywania sesji na wielu serwerach. W tym momencie lepiej byłoby przełączyć PHP na sesje obsługiwane przez użytkownika, Gdzie wywołuje dostarczone funkcje do CRUD (tworzenie, odczyt, aktualizacja, usuwanie) dane sesji. W tym momencie możesz przechowywać informacje o sesji w bazie danych lub rozwiązaniu podobnym do memcache, aby wszystkie serwery aplikacji miały dostęp do danych.

Przechowywanie własnych sesji może być również korzystne, jeśli jesteś na współdzielonym serwerze, ponieważ pozwoli Ci to przechowywać je w bazie danych, nad którą często masz większą kontrolę niż system plików.

Ustawiam swoje sesje w ten sposób-

Na stronie logowania:

$_SESSION['fingerprint'] = md5($_SERVER['HTTP_USER_AGENT'] . PHRASE . $_SERVER['REMOTE_ADDR']);

(fraza zdefiniowana na stronie konfiguracyjnej)

Następnie w nagłówku, który znajduje się w pozostałej części strony:

session_start();
if ($_SESSION['fingerprint'] != md5($_SERVER['HTTP_USER_AGENT'] . PHRASE . $_SERVER['REMOTE_ADDR'])) {       
    session_destroy();
    header('Location: http://website login page/');
    exit();     
}

Php.ini

session.cookie_httponly = 1
change session name from default PHPSESSID

Eq Apache dodaj nagłówek:

X-XSS-Protection    1

Sprawdziłbym zarówno IP, jak i User Agent, aby zobaczyć, czy się zmieniają

if ($_SESSION['user_agent'] != $_SERVER['HTTP_USER_AGENT']
    || $_SESSION['user_ip'] != $_SERVER['REMOTE_ADDR'])
{
    //Something fishy is going on here?
}