Я кодирую веб-сайт на PHP, содержащий boolean $_SESSION['logged_in']
. Это значение равно true
, когда совпадение имени пользователя и пароля присутствует в базе данных.Сессия spoofing (PHP)
Я совершенно новичок в сессиях и просто задавался вопросом, возможно ли, если бы незарегистрированный (или, если на то пошло, зарегистрированный) пользователь мог обойти процесс входа в систему, установив это значение в boolean на true
, что было бы возможно с помощью печенье.
Я понимаю, что пользователь должен будет манипулировать серверной переменной с клиентской стороны, но мои вопросы в том, насколько легко это будет так, как бы пользователь мог выполнить такую задачу, есть ли какие-либо известные эксплоиты , и каковы наилучшие методы/превентивные меры, чтобы избежать такого рода нападений?
Если клиент может изменить данные сеанса на сервере, если вы специально не разрешаете ему, у вас есть больше проблем, чем это. Меня больше беспокоит какой-то дерьмовый общий хостинг с некоторым общим временным каталогом, в котором хранятся данные сеанса. Или даже фиксацию сеанса. – PeeHaa
@PeeHaa, согласовано. – verbumSapienti
http://stackoverflow.com/questions/6912223/is-it-possible-to-change-a-session-variable-client-side –