作者sing10407 (阿U)
看板Web_Design
标题[问题] 使用session安全吗?
时间Thu Dec 19 13:45:55 2013
使用Session当成登入状态好像是满常实作的
比如说用session纪录我的user id ,
然後此网页当要取得我资料时 ,
就使用我的user id session 当key下去搜寻我的资料
而 Session 在产生後，
会在client browser 产生一个cookie来对应到server的session(有错误请指正)
请问browser的cookie会容易被伪造 而使骇客使用别人的session登入网站吗?
还是大家有没有什麽建议的设计方式?
谢谢
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 111.246.218.107
1F：→ danny8376:cookie很容易修改啊 所以现在才会全HTTPS(虽然不完全是 12/19 14:00
2F：→ danny8376:不过要是你登入资料塞cookie更危险就是 12/19 14:01
3F：→ danny8376:你可以另外去验证session合法性 像是IP之类的 12/19 14:02
4F：推 jenesis:cookie变造超简单的 就只是一个string而已... 12/20 00:27
5F：→ a926:额外用一组seesion当成本次连线的token. token用RSA之类的 12/20 08:54
6F：→ a926:演算法加密。这样只有你有key才能解密。(没外流的话) 12/20 08:54
7F：推 inker610566:堵好xss偷cookie的洞不是就很安全了吗 12/24 17:07
8F：→ inker610566:session也有时效性应该不可能偷到就用一辈子吧 12/24 17:08
9F：→ inker610566:还有一楼https防MIMA但伪造session真有可能？ 12/24 17:15
10F：→ TonyQ:没有 https 的话 还是可能在公用网路被 network sniffer 偷 12/24 17:36
11F：→ danny8376:楼楼上 我啥时说伪造session了... 只要偷到cookie 12/25 17:06
12F：→ danny8376:没特别处理过的 就能直接拿来用了 12/25 17:06
13F：→ danny8376:另外session确实会有时效性 不过重点是偷到後能做的事 12/25 17:07