PHP会话安全

Question

使用PHP维护负责任的会话安全性有哪些指导原则？整个网络上都有信息,这是关于它们在一个地方落地的时间!

Answer 1

要确保会话安全,有几件事要做:

1. 在对用户进行身份验证或执行敏感操作时使用SSL.
2. 每当安全级别更改(例如登录)时重新生成会话ID.如果您愿意,您甚至可以在每个请求中重新生成会话ID.
3. 会议超时
4. 不要使用寄存器全局变量
5. 在服务器上存储身份验证详细信 也就是说,不要在cookie中发送用户名等详细信息.
6. 检查一下$_SERVER['HTTP_USER_AGENT'].这为会话劫持增加了一个小障碍.您还可以检查IP地址.但是,这会导致由于多个Internet连接上的负载平衡而导致IP地址发生变化的用户出现问题(在我们的环境中就是这种情况).
7. 锁定对文件系统上会话的访问或使用自定义会话处理
8. 对于敏感操作,请考虑要求登录用户再次提供其身份验证详细信息

Answer 2

一个准则是每次会话的安全级别更改时调用session_regenerate_id.这有助于防止会话劫持.

Answer 3

我认为其中一个主要问题(在PHP 6中正在解决)是register_globals.现在的用于避免标准方法之一register_globals是使用$_REQUEST,$_GET或$_POST阵列.

这样做的"正确"方法(从5.2开始,尽管那里有一个小小的错误,但是从6开始稳定,即将到来)是通过过滤器.

所以代替:

$username = $_POST["username"];

你会这样做:

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

甚至只是:

$username = filter_input(INPUT_POST, 'username');

Answer 4

我的两个(或更多)美分:

• 不相信任何人
• 过滤输入,转义输出(cookie,会话数据也是你的输入)
• 避免使用XSS(保持HTML格式正确,请查看PHPTAL或HTMLPurifier)
• 防御深度
• 不要暴露数据

关于这个主题有一本很小但很好的书:Chris Shiflett的基本PHP安全性.

基本的PHP安全性http://shiflett.org/images/essential-php-security-small.png

在本书的主页上,您将找到一些有趣的代码示例和示例章节.

您可以使用上面提到的技术(IP和UserAgent),如下所述:如何避免身份盗用

Answer 5

这个会话固定文件有很好的指针可能会发生攻击.另请参阅Wikipedia上的会话固定页面.

Answer 6

根据我的经验,使用IP地址并不是最好的主意.例如; 我的办公室有两个IP地址,根据负载使用,我们经常使用IP地址遇到问题.

相反,我选择将会话存储在我服务器上的域的单独数据库中.这样,文件系统上没有人可以访问该会话信息.这对于3.0之前的phpBB非常有帮助(他们已经解决了这个问题),但我认为这仍然是一个好主意.