06-02-2006, 05:32
|
|
|
חבר מתאריך: 25.08.03
הודעות: 9,114
|
|
ציטוט:
במקור נכתב על ידי tnadav1
... אני יודע ... שאין בעיה לזייף sid,
|
יש כן בעיה, זה ממש לא פשוט, דקל רק אמר שזה אפשרי ושהעברת ה-id באמצעות שורת הכתובת מגדילה את הסיכוי ל"גניבת סשן", אך מכאן ועד להגדיר את זה כ"אין בעיה" המרחק גדול, גדול מאד.
בעבר ד"ר (או פרו', אני לא זוכר מי זה בדיוק היה) ישראלי כתב תוכנה שיוצרת מספר רב של התקשרויות עם השרת, אוגרת את כל ה-id השונים שנוצר במהלך כל session, לאחמ"כ מנתחת את אלפי ה-id השונים ולפי זה יוצרת לבד id "צפויים". אך למרות שהוא הצליח לעשות זאת הוא הציג את זה כחור אבטחה, אך ממש לא ככזה שכל אחד, ואפילו בעל נסיון, יכול לעשות.
ושוב, אין דבר מאובטח במאת האחוזים, תמיד יש סיכוי שהאקר יצליח לגנוב את הסשן, אך עם נשווה את שתי השיטות להעברת ה-id, השיטה באמצעות שורת הכתובת פחות אמינה.
ולשאלתך:
תוכל לנסות לאמת כל id עם כתובת ה-ip שכמובן תשמר במערך SESSION.
|