Sessions Hack

Session ID sa predvolene ukladá do cookies (PHPSESSID) ktoré browser posiela na server.

Ak som teda schopný odchytiť komunikáciu klienta medzi serverom, vidím aj Session ID ktoré klient serveru posiela, mne už stačí len nastaviť si rovnakú cookie a je to vybavené - som prihlásený ako daný užívateľ.

Pokiaľ moje znalosti však siahajú, takýto postup je možný len v lokálnej sieti, asi len ťažko by som mohol sledovať trafiku ktorá prebieha medzi dvoma zariadeniami, ktoré sú ani boh nevie kde... (ak sa mýlim opravte ma, rád sa naučím niečo nové ;) )

xROAL:
Sledovat komunikaci lze hlavně u bezdrátových sítí, veřejná místa jako pracoviště, školy, kavárny, nemocnice, ... jsou na to ideální. Takže pokud jde třeba o peníze, šifrovat.

Šuter:
Jestli nemáte nějakou další díru v aplikaci nelze bez kódu říct. Základ je uvedený v místním FAQ, nevím, jestli jste to viděl.

Druhou moznosti jak ziskat hodnotu vyse zmineho cookie je pomoci XSS. Takze pokud budete vsechny vstupy osetrovat touto cestou se k sesion id utocnik nedostane.

K tomu XSS by som ešte dodal, že treba nastaviť parameter ini_set('session.cookie_httponly', 1); a cez XSS sa ku SID nebude dať dostať. Samozrejme vstupy treba kontrolovať vždy.