php - 防止 session 劫持

Question

如何防止多个客户端使用相同的 session ID？我问这个是因为我想添加一个额外的安全层来防止我的网站上的 session 劫持。如果黑客以某种方式找出另一个用户的 session ID 并使用该 SID 发出请求，我如何检测到服务器上存在共享单个 SID 的不同客户端然后拒绝劫持尝试？

编辑

经过仔细考虑后，我接受了 Gumbo 的回答，因为我意识到由于 无状态 HTTP 协议(protocol)的限制，我所要求的是不可能的。我忘记了可能是 HTTP 最基本的原理是什么，现在想想这个问题似乎有点琐碎。

让我详细说明我的意思:

用户 A 在 example.com 上登录后，会获得一些随机 session ID，为简单起见，将其设为“abc123”。此 session ID 在客户端存储为 cookie，并通过服务器端 session 进行验证，以确保登录的用户在从一个网页移动到另一个网页时保持登录状态。如果 HTTP 不是无状态的，那么这个 cookie 当然不需要存在。因此，如果用户 B 窃取了用户 A 的 SID，并在他的计算机上创建了一个值为“abc123”的 cookie，那么他将成功劫持用户 A 的 session ，但服务器根本无法合法地识别用户 B 的 session 。请求与用户 A 的请求有任何不同，因此服务器没有理由拒绝任何请求。即使我们要列出服务器上已经处于事件状态的 session 并尝试查看是否有人正在访问已经处于事件状态的 session ，我们如何确定是另一个用户非法访问该 session 而不是同一用户谁已经使用 session ID 登录，但只是尝试用它发出另一个请求(即导航到不同的网页)。我们不能。检查用户代理？可以被欺骗 - 但作为深度防御措施仍然很好。 IP地址？可以出于正当理由进行更改 - 但我建议检查 IP 的前两个八位字节之类的东西，而不是根本不检查 IP 地址，因为即使是数据计划网络上的用户，由于完全合法的原因而不断更改 IP通常只会更改其 IP 的最后两个八位位组。

总而言之，正是无状态 HTTP 谴责我们永远无法完全保护我们的网站免受 session 劫持，但良好的做法(如 Gumbo 提供的做法)足以防止绝大多数 session 攻击.因此，试图通过拒绝同一 SID 的多个请求来保护 session 不被劫持是非常可笑的，并且会破坏 session 的全部目的。

Answer 1

不幸的是，没有有效的方法可以明确地识别出来自攻击者的请求，而不是真正的请求。因为大多数反措施检查的属性，如 IP 地址或用户代理特征，要么不可靠(IP 地址可能在多个请求之间更改)，要么很容易伪造(例如 User-Agent 请求 header )，因此可能会产生不需要的误报(即真正的用户切换 IP 地址)或误报(即攻击者能够成功伪造具有相同 User-Agent 的请求)。

这就是为什么防止 session 劫持的最佳方法是确保攻击者无法找到其他用户的 session ID。这意味着您应该设计您的应用程序及其 session 管理(1)攻击者无法通过使用足够的熵来猜测有效的 session ID，以及(2)攻击者没有其他方法可以通过已知攻击获得有效的 session ID/漏洞，如嗅探网络通信、跨站脚本、通过Referer泄露等。

也就是说，你应该:

• 使用足够的随机输入来生成 session ID(参见 session.entropy_file、session.entropy_length 和 session.hash_function)
• 在传输过程中使用 HTTPS 保护 session ID
• 将 session ID 存储在 cookie 中而不是 URL 中，以避免通过 Referer 泄漏(参见 session.use_only_cookies)
• 使用 HttpOnly 和 Secure 属性设置 cookie 以禁止通过 JavaScript 访问(以防 XSS 漏洞)并禁止通过不安全通道传输(参见 session.cookie_httponly和 session.cookie_secure )

除此之外，您还应该重新生成 session ID，同时在某些 session 状态更改(例如登录后确认真实性或更改授权/权限)后使旧 ID 无效(参见 session_regenerate_id function)，并且您还可以定期执行此操作以减少成功的 session 劫持攻击的时间跨度。