社区
学习
工具库
AI工具
休闲
搜索
简体中文
首页 后端开发 php教程 PHP中的session安全吗？_php技巧

PHP中的session安全吗？_php技巧

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB
WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB
May 16, 2016 pm 07:59 PM
php

做PHP开发这么长时间，还真没有真正关注过安全的问题，每次都是以完成项目为主，最近在网上看到了一篇关于安全的文章，看完以后才注意到自己以前的项目都存在着很大的安全漏洞，于是挑了一个项目进行了测试，发现很容易就中招儿了。在这里我会分享自己写的一个测试的例子来说明PHP中的session是如何不安全的，以及在项目中如何加强其安全性。
对于session的原理机制，网上有很多好的文章来介绍，我们可以自行查阅。下面直接分享测试用的例子。
这个测试的例子主要就是一个登录页，登录成功以后可以修改密码，就这样一个简单的功能。
界面如下

首先是在项目入口的地方使用函数 session_start() 开启了session。这样当客户端发起请求的时候，会产生一个身份标识 也就是 SessionID。通过cookie的方式保存在客户端，客户端和服务端每次的通信都是靠这个SessionID来进行身份识别的。
登录成功以后，会将 用户id、用户名存入session中

1

2

$_SESSION[‘userid'] = 用户id

$_SESSION[‘uname'] = 用户名

登录后复制

以后所有的操作都是通过判断 $_SESSION[‘userid']是否存在来检查用户是否登录。代码如下：

1

if(isset($_SESSION['userid'])) return true;

登录后复制

对于修改密码接口的调用是通过ajax  post的方式将数据传输到服务端的。

1

2

3

4

5

6

7

8

9

10

11

$.post("接口*******",

  {

     oldpass:oldpass,

     newpass:newpass,

     userid:uid,

  },

  function(data){

     data = eval('(' +data+ ')');

     $('.grant_info').html(infos[data.info]).show();

  }

);

登录后复制

注意，我这里将这段代码写在了html页面中，所以说如果看到了html代码，也就知道了接口地址了。
修改密码的接口是这样实现的，首先是判断用户是否登录，如果登录才会进行密码的修改操作。
测试例子的实现思路大概就是上面介绍的那样。
利用SessionID攻击
1. 首先是获取SessionID，当然攻击者获取此标识的方式有很多，由于我的水平有限，至于如何获取我在这里不做介绍。我们可以模拟一下，先正常访问此项目，然后通过浏览器查看SessionID，以此得到一个合法的用户标识。可以在请求头中看到此项ID

1

2

3

4

5

6

7

8

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Connection: keep-alive

Cookie: Hm_lvt_bf1154ec41057869fceed66e9b3af5e7=1450428827,1450678226,1450851291,1450851486; PHPSESSID=2eiq9hcpu3ksri4r587ckt9jt7;

Host: ******

Referer: ******

User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:41.0) Gecko/20100101 Firefox/41.0

登录后复制

得到sessionID以后，如果此用户登录成功，那么服务端的session里就有此用户的信息了。
2. 获取到SessionID以后，假如攻击者已经知道修改密码的接口，就可以直接修改此用户的密码了。如果攻击者还没有得到接口地址，可以通过查看页面代码找出接口地址。可以使用如下的命令

1

#curl --cookie "PHPSESSID=2eiq9hcpu3ksri4r587ckt9jt7" 页面地址

登录后复制

上面我们说过，在此例子中ajax代码是写在html页面中的，所以在此页面可以查看到接口地址
部分html代码如下

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

<html xmlns="http://www.w3.org/1999/xhtml">

<head>

……

var uid = $(".userid").val();

$.post("/User/User/modifypass_do",

     {

        oldpass:oldpass,

        newpass:newpass,

        userid:uid,

     },

    function(data){

      data = eval('(' +data+ ')');

      $('.grant_info').html(infos[data.info]).show();

    }

 );

……

<span><input type="password" name="oldpass" id="textfield_o" placeholder="原密码"></span>

<span><input type="password" name="newpass" id="textfield_n" placeholder="新密码"></span>

<span><input type="password" name="confirmpass" id="textfield_c" placeholder="确认密码"></span>

<input type="button" class="btn_ok" value="确认修改" />

登录后复制

3. 得到接口以后可以通过curl 模拟post发送数据来修改密码
命令如下

1

# curl --cookie "PHPSESSID=2eiq9hcpu3ksri4r587ckt9jt7" -d oldpass=111111 -d newpass=000000 -d userid=用户id 接口地址

登录后复制

如果此用户已经登录，那么攻击者可以通过执行以上命令修改用户的密码。
解决方法
对于以上方式的攻击，我们可以通过使验证方式复杂化来加强其安全性。其中一种方式就是利用请求头中的User-Agent项来加强其安全性

1

2

3

4

5

6

7

8

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Connection: keep-alive

Cookie: Hm_lvt_bf1154ec41057869fceed66e9b3af5e7=1450428827,1450678226,1450851291,1450851486; PHPSESSID=2eiq9hcpu3ksri4r587ckt9jt7;

Host: ******

Referer: ******

User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:41.0) Gecko/20100101 Firefox/41.0

登录后复制

在项目开始的时候最初我们只是用了session_start()函数来开启session。现在我们可以在session_start() 下面 添加这段代码

1

$_SESSION[‘User_Agent'] = md5($_SERVER[‘HTTP_USER_AGENT']);

登录后复制

然后在每次判断是否登录的时候，添加判断条件如下

1

2

3

If(isset($_SESSION[‘userid']) && $_SESSION[‘User_Agent'] == md5($_SERVER[‘HTTP_USER_AGENT'])){

    return true;

}

登录后复制

这样就可以避免上述简单的攻击。
总结：
当然，实际情况中的攻击远非这么简单，首先在获取SessionID这一步就比较困难，然后就是和服务端交互的代码尽量加密，可以避免上述的情况。在我们第二次修改代码以后，可以增加攻击的复杂程度，并不能杜绝攻击。攻击的方式多种多样，这里只是一种简单的方式，仅提供一种思路，但是原理是一样的，在实际情况中可以根据实际情况增强我们代码的安全程度。

这里只是分享自己在工作中碰到的问题，权当抛砖引玉，希望大家可以进一步深入学习。

本站声明
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

热AI工具

Undresser.AI Undress

Undresser.AI Undress

人工智能驱动的应用程序，用于创建逼真的裸体照片

AI Clothes Remover

AI Clothes Remover

用于从照片中去除衣服的在线人工智能工具。

Undress AI Tool

Undress AI Tool

免费脱衣服图片

Clothoff.io

Clothoff.io

AI脱衣机

Video Face Swap

Video Face Swap

使用我们完全免费的人工智能换脸工具轻松在任何视频中换脸！

显示更多

热门文章

刺客信条阴影：贝壳谜语解决方案
1 个月前 By DDD
Windows 11 KB5054979中的新功能以及如何解决更新问题
3 周前 By DDD
在哪里可以找到原子中的起重机控制钥匙卡
1 个月前 By DDD
如何修复KB5055523无法在Windows 11中安装？
2 周前 By DDD
Inzoi：如何申请学校和大学
3 周前 By DDD
显示更多

热工具

记事本++7.3.1

记事本++7.3.1

好用且免费的代码编辑器

SublimeText3汉化版

SublimeText3汉化版

中文版，非常好用

禅工作室 13.0.1

禅工作室 13.0.1

功能强大的PHP集成开发环境

Dreamweaver CS6

Dreamweaver CS6

视觉化网页开发工具

SublimeText3 Mac版

SublimeText3 Mac版

神级代码编辑软件(SublimeText3)

显示更多

热门话题

gmail邮箱登陆入口在哪里
7781
15
Java教程
1644
14
CakePHP 教程
1399
52
Laravel 教程
1296
25
PHP教程
1234
29
显示更多
Related knowledge
适用于 Ubuntu 和 Debian 的 PHP 8.4 安装和升级指南 适用于 Ubuntu 和 Debian 的 PHP 8.4 安装和升级指南 Dec 24, 2024 pm 04:42 PM

PHP 8.4 带来了多项新功能、安全性改进和性能改进，同时弃用和删除了大量功能。 本指南介绍了如何在 Ubuntu、Debian 或其衍生版本上安装 PHP 8.4 或升级到 PHP 8.4

我后悔之前不知道的 7 个 PHP 函数 我后悔之前不知道的 7 个 PHP 函数 Nov 13, 2024 am 09:42 AM

如果您是一位经验丰富的 PHP 开发人员，您可能会感觉您已经在那里并且已经完成了。您已经开发了大量的应用程序，调试了数百万行代码，并调整了一堆脚本来实现操作

如何设置 Visual Studio Code (VS Code) 进行 PHP 开发 如何设置 Visual Studio Code (VS Code) 进行 PHP 开发 Dec 20, 2024 am 11:31 AM

Visual Studio Code，也称为 VS Code，是一个免费的源代码编辑器 - 或集成开发环境 (IDE) - 可用于所有主要操作系统。 VS Code 拥有针对多种编程语言的大量扩展，可以轻松编写

在PHP API中说明JSON Web令牌（JWT）及其用例。 在PHP API中说明JSON Web令牌（JWT）及其用例。 Apr 05, 2025 am 12:04 AM

JWT是一种基于JSON的开放标准，用于在各方之间安全地传输信息，主要用于身份验证和信息交换。1.JWT由Header、Payload和Signature三部分组成。2.JWT的工作原理包括生成JWT、验证JWT和解析Payload三个步骤。3.在PHP中使用JWT进行身份验证时，可以生成和验证JWT，并在高级用法中包含用户角色和权限信息。4.常见错误包括签名验证失败、令牌过期和Payload过大，调试技巧包括使用调试工具和日志记录。5.性能优化和最佳实践包括使用合适的签名算法、合理设置有效期、

php程序在字符串中计数元音 php程序在字符串中计数元音 Feb 07, 2025 pm 12:12 PM

字符串是由字符组成的序列，包括字母、数字和符号。本教程将学习如何使用不同的方法在PHP中计算给定字符串中元音的数量。英语中的元音是a、e、i、o、u，它们可以是大写或小写。 什么是元音？ 元音是代表特定语音的字母字符。英语中共有五个元音，包括大写和小写： a, e, i, o, u 示例 1 输入：字符串 = "Tutorialspoint" 输出：6 解释 字符串 "Tutorialspoint" 中的元音是 u、o、i、a、o、i。总共有 6 个元

您如何在PHP中解析和处理HTML/XML？ 您如何在PHP中解析和处理HTML/XML？ Feb 07, 2025 am 11:57 AM

本教程演示了如何使用PHP有效地处理XML文档。 XML（可扩展的标记语言）是一种用于人类可读性和机器解析的多功能文本标记语言。它通常用于数据存储

解释PHP中的晚期静态绑定（静态：:)。 解释PHP中的晚期静态绑定（静态：:)。 Apr 03, 2025 am 12:04 AM

静态绑定（static::）在PHP中实现晚期静态绑定（LSB），允许在静态上下文中引用调用类而非定义类。1）解析过程在运行时进行，2）在继承关系中向上查找调用类，3）可能带来性能开销。

什么是PHP魔术方法（__ -construct，__destruct，__call，__get，__ set等）并提供用例？ 什么是PHP魔术方法（__ -construct，__destruct，__call，__get，__ set等）并提供用例？ Apr 03, 2025 am 12:03 AM

PHP的魔法方法有哪些？PHP的魔法方法包括：1.\_\_construct，用于初始化对象；2.\_\_destruct，用于清理资源；3.\_\_call，处理不存在的方法调用；4.\_\_get，实现动态属性访问；5.\_\_set，实现动态属性设置。这些方法在特定情况下自动调用，提升代码的灵活性和效率。

See all articles