Onderwerp: Wordt $_session['var'] client-side of server-side bewaard?

On Fri, 09 Mar 2007 12:24:47 +0100, bjorri <no@nl.invalid> wrote:
> Arjen wrote:
>> Rik schreef:
>>
>> Als iemand je cookies jat is het wel handig als je op ip+cookie checkt.
>> Geef mij een website waar ik javascript kan injecteren en je hebt meteen
>> toegang tot iedereens account :-)
>>
> Laat ik dan een iets concreter iets vragen.
>
> Op mijn gevoel, zonder te kunnen beredeneren twijfel aan de veiligheid
> van die sessievariabele dus vandaar de extra variabele met ip en
> controle of het volgende request van hetzelfde ip af komt.

Als je dat doet houd dan iig rekening met de X_FORWARDED_FOR die transparante
proxies soms mee geven. Let daarbij op dat niet alle proxies dat doen.
>
> vraag 1 is dus: Ben ik er wel met slechts die ene (simpele) sessie
> variabele?
> Zo nee, in welke richting moet ik het dan zoeken.

Naast de controle kun je bij elke pagina de session reregisteren, ze
krijgen dan een nieuwe session id. Mocht je perongelijk transparantie
sessies draaien dan voorkom je iig dat ze makkelijk een sessie hijacken.

Knal daarnaast bijvoorbeeld een check op de user agent in diezelfde controle.

Hans
--
IM: hans.wolters@jabber.xs4all.nl
http://lonki.xs4all.nl

On Fri, 09 Mar 2007 13:25:50 +0100, Arjen <dont@mail.me> wrote:

> En javascript injecteren is soms niet te voorkomen. Ik kan 100 dingen
> dichtzetten maar als je echt wil kom je er wel met het 101e lek doorheen :-(

Als je goed weet wat mensen kunnen submitten en daar checks voor hebt
kun je alleen nog xss bugs tegen komen in lekke meuk zoals een pagina
met phpinfo(). Zoek maar op de Month Of PHP Bugs die nu loopt.

Hans
--
IM: hans.wolters@jabber.xs4all.nl
http://lonki.xs4all.nl

Hans schreef:
> On Fri, 09 Mar 2007 13:25:50 +0100, Arjen <dont@mail.me> wrote:
>
>> En javascript injecteren is soms niet te voorkomen. Ik kan 100 dingen
>> dichtzetten maar als je echt wil kom je er wel met het 101e lek doorheen :-(
>
> Als je goed weet wat mensen kunnen submitten en daar checks voor hebt
> kun je alleen nog xss bugs tegen komen in lekke meuk zoals een pagina
> met phpinfo(). Zoek maar op de Month Of PHP Bugs die nu loopt.

Hebbut gezien idd. Ik moet alleen de 1e pagina die helemaal dicht staat
nog tegenkomen.

--
Arjen
http://www.hondenpage.com - Mijn site over honden