• 69946
  • 1363
  • 82
Нравится блог?
Подписывайтесь!

А у вас кукиз HttpOnly?

Единственное что остановило тихо и незаметно ловить сессии пользователей - это использование HttpOnly cookies на YVision.

А в вашем проекте кукиз HttpOnly?

 

Vitaliy Tsvayer tsvayer
22 сентября 2010, 15:28
888

Загрузка...
Loading...

Комментарии

Блин ты заставил задуматься))
тебя хоть нанимай для анализа безопасности проекта
zloi
0
0
угу. и про шифрование не забываем
zloi
0
0
отвечает КО: "то, что храним в куках" )
я к тому, что зачем хранить в куках что то ещё кроме одного идентификатора и не хранить всё остальное на сервере?
ааа. ну хз. видимо, паранойя. мы правда шифруем идентификатор и дату.
в смысле, только идентификатор и дата и хранится. их и шифруем
просто шифровать есть смысл например в таком случае:
md5(session_id + ip_address + site_secret_key)
тогда даже если я поймаю cookie, я с другой сети воспользоваться не смогу. Или же вместо ip_address использовать ещё какое то значение которое не так легко перехватить и заменить. Иначе смысла в шифровании не вижу.
паранойя. нефиг смотреть, что мы там в куки пишем.
кстати, ip_address я забыл. и user_agent.
всмысле паранойя? :) мне без разницы что вы там пишите, задача получить доступ на правах другого пользователя например.
я на госконтору работаю. все должно быть суперсекретно.

ну а по поводу получить доступ на правах другого пользователя, я думаю проще дать взятку пользователю, под которым хочется зайти. все просто. или подойти к его рабочему месту, когда он курить уйдет, а комп не залочит. с технической стороны, мы вроде бы себя обезопасили чем только могли.
если физически взять куку с компа юзера, подменить свой айпишник/юзер_агент на такие же как у него в течении 30 минут, то можно зайти под его сессией. но тут уж лучше вариант с не залоченным компом
это то понятно, только интересен сам процесс в техническом смысле :))) иначе не интересно
нахождения пути доступа
ну знаете ))
джаваскрипт какой-нибудь вставить черех xss уязвимость, чтобы он куки вытаскивал
попытаться выполнить свой код (remote code injection)
sql-инъекцию какую-нибудь (но это уже не к кукам)
ну и я об этом, это конечно же ни полный список, просто здесь упомянул о HttpOnly cookies.
lolya
0
0
Бугага
Гики не дремлют, сайты в опасностэ
Я правильно понял, что HttpOnly куки только с версии php 5.2 существуют?
нет, так как это аттрибут на уровне HTTP протокола, то версия PHP, да и сам PHP значения не имеет.
Я тоже так подумал, но когда начал копаться в форумах codeigniter, пытаясь найти способ использования httponly cooks в нем, то последовал ответ, что это возможно только с версией php 5.2

Может быть, криво читал, либо автор поста был кривой. Завтра поищу опять )
Имеется ввиду в PHP, а не вообще :D

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Инструкция для аллергиков. Как бороться с аллергией в период обострения

Инструкция для аллергиков. Как бороться с аллергией в период обострения

Я аллергик с детства. Имею аллергию на пыльцу березы, липы, полыни (выяснил это благодаря кожным пробам), а также пищевую аллергию на горчицу. Свои проблемы знаю, однако это меня не спасло.
Romeo_17
15 авг. 2017 / 17:21
  • 38747
  • 63
СМИ – ассистент провокаторов? Как гости из соседних стран сеют раздор в Казахстане

СМИ – ассистент провокаторов? Как гости из соседних стран сеют раздор в Казахстане

Инцидент с пьяным киргизским гостем на борту Air Astana, наверное, остался бы только во внутренних сводках авиакомпании, если бы г-н Доган, не поднял громкий крик о государственном языке.
openqazaqstan
17 авг. 2017 / 14:43
  • 10751
  • 174
Казахский национализм раньше выглядел несовременно. Теперь он другой

Казахский национализм раньше выглядел несовременно. Теперь он другой

Националисты стали совсем другими. По-английски хорошо говорят, русскую классику цитируют. Очень современные, образованные, адекватные. А после Крыма в националисты уже чуть ли не любой казах готов был записаться.
Aidan_Karibzhanov
16 авг. 2017 / 16:52
Имеющий уши да услышит. Латиница касается только казахского языка

Имеющий уши да услышит. Латиница касается только казахского языка

Президент Назарбаев наконец-то разъяснил для всех, кто ещё не понял, очевидный вопрос, который всем в Казахстане очевиден. Елбасы повторил: на латиницу мы переводим казахский язык, и это не означает отказ от русского языка.
openqazaqstan
18 авг. 2017 / 16:23
  • 2811
  • 48
«Доехать до Алтын Орды» – как мошенники обманывают алматинцев

«Доехать до Алтын Орды» – как мошенники обманывают алматинцев

Из множества грустных откровений постепенно сложился перечень самых распространённых уловок охотников за нашими деньгами. В нём ожидаемо лидировали профессиональные попрошайки.
caravan_kz
16 авг. 2017 / 15:05
  • 2067
  • 2
В Кокшетау строят два парка для молодёжи. Будут учтены интересы и любителей спорта

В Кокшетау строят два парка для молодёжи. Будут учтены интересы и любителей спорта

Общая площадь парка составляет 25 гектаров. На территории предусмотрено устройство прогулочных дорожек, площадок для установки аттракционов и павильонов различного назначения, цветников.
zhasakmola
17 авг. 2017 / 17:13
  • 1932
  • 1
Недоразумение с грантами в ВУЗы: «медалисты» до сих пор имеют преимущество

Недоразумение с грантами в ВУЗы: «медалисты» до сих пор имеют преимущество

Многие способные выпускники без Алтын Белги готовились к тестированию, чтобы в честной борьбе попытать счастья на гранты без ущемления со стороны якобы "золотых" выпускников.
DanaJarlygapova
14 авг. 2017 / 14:35
Новый конкурс на грантовое финансирование – разочарование для казахстанских ученых

Новый конкурс на грантовое финансирование – разочарование для казахстанских ученых

Обсуждение новых условий началось ещё давно, но стоит ли ожидать качественного улучшения результатов научно-исследовательской деятельности, если система управления наукой не была модернизирована?
ermekuss
17 авг. 2017 / 12:23
  • 1752
  • 1
Надо научиться видеть скрытые экономические процессы за вспышкой национального гнева

Надо научиться видеть скрытые экономические процессы за вспышкой национального гнева

При полном отсутствии бюджетного жилищного строительства, целые аулы оседают в ветхих домишках, сквозь заборы которых насмешливо возвышаются башни "коктемов", "риц карлтонов" и "есентаев".
niyazov
вчера / 11:16
  • 1504
  • 50