php - PHP session 的安全性

Question

我知道这个问题已被问过数十亿次，但我对我编码的安全性 super 偏执/强制症。我正在做一个小项目。 session 数据将仅包含:

user_id 1
user_name MyUsername
logged_in true
csrf_token 87cc51ee94178df79cccce2aebc45d53

这是我的代码。它是否安全足以在小型 CMS 上使用？

session_start();

ini_set('session.cookie_httponly', 'On');
ini_set('session.cookie_secure', 'On');
ini_set('session.use_cookies', 'On');
ini_set('session.use_only_cookies', 'On');

$rand = rand(1, 10);

if ($rand != 1 || $rand != 3 || $rand != 5)
    session_regenerate_id();

$user_ip = md5($_SERVER['REMOTE_ADDR']);
$user_agent = md5($_SERVER['HTTP_USER_AGENT']);

if (isset($_SESSION['user_ip'], $_SESSION['user_agent'])) {
    $session_user_ip = $_SESSION['user_ip'];
    $session_user_agent = $_SESSION['user_agent'];

    if ($session_user_ip != $user_ip || $session_user_agent != $user_agent) {
        unset($_SESSION);
        session_destroy();

        die('Error');
    }
} else {
    $_SESSION['user_ip'] = $user_ip;
    $_SESSION['user_agent'] = $user_agent;
}

然后调用 session :

$_SESSION['user_id'] = 1;
$_SESSION['user_name'] = 'MyUsername'; // etc.

额外信息
我将使用 session 数据来检查用户是否有权执行某些操作。示例:if ( user_has_perm( $_SESSION['user_id'] ) )

提前感谢您的帮助。

Answer 1

session 安全风险来自三种不同的可能性:

• 预测
• 捕捉
• 固定

预测意味着不是为其创建 session 的用户的某个人猜测了他们的 session ID。发生这种情况的可能性几乎为 0，尽管随着越来越多的用户同时使用该网站，这种可能性确实会增加。

使用您的代码，您可以降低这种风险，因为它只有在攻击者共享用户代理和预测 session 的 ip 时才会起作用。但在这种情况下，差异微不足道。

固定意味着攻击者可以创建一个 session ，然后强制另一个用户使用他们的 session 。在这种情况下，这取决于:如果攻击者知道您正在这样做并且他们伪造客户端的用户代理和 ip，他们可以固定 session 。或者如果他们共享 IP 和用户代理。

最后是 session 劫持，这可能是三种方法中最常见的一种。在这种情况下，攻击者会以某种方式获得对有效登录用户的 session ID 的访问权限，然后使用它登录到他们的帐户。与之前的方法一样，这仅在他们知道您正在检查 ip 和用户代理并且伪造与用户相同的情况下才适用。您使用的技术不是独一无二的，一些攻击者可能会伪造它们以防万一。

---

话虽这么说，它安全吗？ 是和否

如果您痴迷于安全，答案总是一样的:使用 SSL

除非您的代码是开源的，否则您所做的任何改变 php session 行为的行为几乎都足够安全。

唯一的异常(exception)是会吸引黑客注意的真正流行的网站。

有一些关于此主题的非常好的文档可用:

• http://phpsec.org/projects/guide/4.html
• PHP Session Security
• http://www.squarefree.com/securitytips/web-developers.html#CSRF