7天入门php-会话和安全

港控/mmm° 2022-07-16 04:23 135阅读 0赞

**一、常见会话攻击类型**

截了几张图，大致了解会话攻击：

![Center][]

![Center 1][]

![Center 2][]

![Center 3][]

图片及文章：*http://www.acros.si/papers/session\_fixation.pdf*

**二、INI配置管理会话安全**

1、session.cookie\_lifetime=0。

设置关闭浏览器时即删除cookie，从而删除通过cookie存储的会话ID ，防止被他人利用。大部分应用应将此项设置为0，如需实现自动登录，最好不使用设置会话ID 的长期保留的方式。

2、session.use\_cookies=On 并且 session.use\_only\_cookies=On。

优选方案，尽可能只使用cookie来管理会话ID ，而不是url。而事实上大多数应用也确实只应用cookie管理会话ID 。

3、session.use\_strict\_mode=On。php 5.5.2开始。

此设置防止会话模块使用未初始化的会话ID 。即PHP 会话模块只接受自己创建的会话ID ，而不能接受用户提供的会话ID ，从而防止JavaScript等注入会话ID 进行攻击的情况发生。

4、session.cookie\_httponly=On。

禁止JavaScript访问会话cookie。

5、session.cookie\_secure=On。

仅允许在HTTPS 协议下访问会话ID cookie。

6、session.gc\_maxlifetime=\[尽可能的小\]。

gc（Garbage Clear），调整 session.gc\_probability 和 session.gc\_divisor 设置项 可以使得过期的会话数据在适当的周期内被删除。但会话ID 的安全不能仅依赖于此设置。

7、session.use\_trans\_sid=Off。

禁用透明会话ID 管理。可规避会话ID 注入和泄露的风险。此选项的INI说明为：

Use of trans sid may risk your users security.  
Use this option with caution.  
 - User may send URL contains active session ID  to other person via. email/irc/etc.  
 - URL that contains active session ID may be stored in publicly accessible computer.  
 - User may access your site with the same session ID always using URL stored in browser's history or bookmarks.

（究竟透明会话ID 管理开启与否的区别自己还不清楚）

8、session.referer\_check=\[你的源 URL\] 。

当启用 session.use\_trans\_sid 设置项时， 建议尽可能的联合使用此设置项来降低会话 ID 注入的风险。 假设你的站点是 http://example.com/， 请将此设置项置为 http://example.com/。 需要注意的，如果使用 HTTPS ， 浏览器将不会发送 referrer 请求头， 因此，从安全角度考虑，此设置项并不总是可信赖的。

9、session.cache\_limiter=nocache。

确保对于已经认证的会话， 其 HTTP 内容不被缓存。 你应仅允许缓存公开的内容， 否则将面临内容暴露的风险。 如果 HTTP 内容中不包含安全信息或敏感数据，可以使用“private”。 注意，“private”可能会导致客户端缓存私有数据。 仅在 HTTP 内容中不包含任何私有数据的时候，可以使用“public”。

10、session.hash\_function="sha256"。

高强度的散列函数可以产生高强度的会话 ID。 虽然即使是使用 MD5 散列算法，要找到相同的散列值也是非常不易的， 但是开发人员还是应该选择 SHA-2 或者更高的散列算法， 例如可以使用 sha384 或者 sha512。

**更多具体内容后面慢慢完善。**

参考图片及文章地址：

1、*http://www.acros.si/papers/session\_fixation.pdf*：图片来源，文章详细讲解了常见会话攻击。

2、*http://php.net/manual/zh/session.security.php*

[Center]: /images/20220716/7118da33c191463981dc4a544463712e.png
[Center 1]: /images/20220716/6180357d828d49ddb63d014369c3adcd.png
[Center 2]: /images/20220716/333618f2a7cd4d94bfd471e72fc63300.png
[Center 3]: /images/20220716/4d79035205ac4e7b8fd13ce02c623580.png