当前位置:Gxlcms > PHP教程 > PHP安全编程:会话数据注入_PHP教程

PHP安全编程:会话数据注入_PHP教程

时间:2021-07-01 10:21:17 帮助过:4人阅读

PHP安全编程:会话数据注入


一个与会话暴露类似的问题是会话注入。此类攻击是基于你的WEB服务器除了对会话存储目录有读取权限外,还有写入权限。因此,存在着编写一段允许其他用户添加,编辑或删除会话的脚本的可能。下例显示了一个允许用户方便地编辑已存在的会话数据的HTML表单:




脚本inject.php执行由表单所指定的修改:

 $sess_data)
{
  $_SESSION = $sess_data;
  $sess_data = session_encode;

  file_put_contents($path/$sess_name, $sess_data);
}

$_SESSION = array();

?>

此类攻击非常危险。攻击者不仅可以编辑你的用户的数据,还可以编辑他自己的会话数据。它比会话劫持更为强大,因为攻击者能选择所有的会话数据进行修改,从而使绕过访问限制和其他安全手段成为可能。

针对这个问题的最好解决方案是将会话数据保存在数据库中。参见专题前面的内容。

延伸阅读


www.bkjia.comtruehttp://www.bkjia.com/PHPjc/876631.htmlTechArticlePHP安全编程:会话数据注入 一个与会话暴露类似的问题是会话注入。此类攻击是基于你的WEB服务器除了对会话存储目录有读取权限外,还有...

人气教程排行