Er det mulighet for å kunne "decode" en PHPSESSID, og lage en ny en med andre variabler enn de som er "kodet inn" i den originale?
LOGG INN
... eller du kan registrere deg nå
Du må være registrert og logget inn for å kunne legge ut innlegg på freak.no
Dette nettstedet er avhengig av annonseinntekter for å holde driften og videre utvikling igang.
Vi liker ikke reklame heller, men alternativene er ikke mange. Vær snill å vurder å slå av annonseblokkering, eller å abonnere på en reklamefri utgave av nettstedet.
|
7
3483
|
Sitat av fulloggal
Janpfo: PHPSESSID er ikke bare tall... Noen som vil prøve å "decrypte" denne?
a6ef671d8bfc05711eaaa7880879e7f6
a6ef671d8bfc05711eaaa7880879e7f6
Vis hele sitatet...
Uansett er det KUN en identifikator - laga som en hash av en tilfeldig informasjonsbit, og den inneheld ingen informasjon, og kan heller ikkje røpe noko informasjon.
The Freak har mer eller mindre rett.
Session hijacking er å kidnappe noen andres sesjon (ved f.eks å kopiere cookies, session id url-parametre e.l. slik at du får logget inn som dem). Men session hijacking gir deg ingen tilgang til selve innholdet i sesjonen.
PHPSESSID er bare et id-nummer for sesjonen, mens variablene lagres, som The Freak sier, på serveren. Det er dette som gjør sessions sikre, sammenlignet med å lagre ting direkte i cookies.
PHP bruker altså bare PHPSESSID for å finne ut hvilken sesjon du "eier".
Session hijacking er å kidnappe noen andres sesjon (ved f.eks å kopiere cookies, session id url-parametre e.l. slik at du får logget inn som dem). Men session hijacking gir deg ingen tilgang til selve innholdet i sesjonen.
PHPSESSID er bare et id-nummer for sesjonen, mens variablene lagres, som The Freak sier, på serveren. Det er dette som gjør sessions sikre, sammenlignet med å lagre ting direkte i cookies.
PHP bruker altså bare PHPSESSID for å finne ut hvilken sesjon du "eier".
Når session hijacking først er nevnt, kan jeg dra fram en liten artikkel jeg skreiv her for en tid tilbake som forklarer litt rundt akkurat dette også. http://www.freakforum.nu/forum/showthread.php?t=90058
Som det er nevnt her, session id er kun en id som forteller webserveren hvem som er eier av sesssion variablene som er lagret i flatfile (disse ligger som regel under /tmp).
Edit: I tilfelle flisespikkeri. IDen forteller ingenting om hvem som eier filene, men IDen gjør at webserveren kan benytte korrekt fil i forhold til hvilken ID som blir supplert av nettleseren.
Som det er nevnt her, session id er kun en id som forteller webserveren hvem som er eier av sesssion variablene som er lagret i flatfile (disse ligger som regel under /tmp).
Edit: I tilfelle flisespikkeri. IDen forteller ingenting om hvem som eier filene, men IDen gjør at webserveren kan benytte korrekt fil i forhold til hvilken ID som blir supplert av nettleseren.
Sist endret av m0b; 25. mars 2009 kl. 13:52.
|
|