PTT數位生活區 / PHP

Re: [請益] session資訊可以偽造嗎?

看板PHP作者 (霸格尼尼)時間17年前 (2009/02/23 00:20), 編輯推噓0(0推 0噓 31→)
留言31則, 2人參與, 最新討論串3/4 (看更多)
※ 引述《louis60401 (願晴)》之銘言： : → john0227 :用戶或駭客有辦法可以自己創立或修改session變數嗎? 02/22 10:14 : 可以. : ?_SESSION[變數名稱]=值 : 意思就是說你要預防你的SESSION變數名稱被發現. : 但是要在這方面下功夫 : 到不如想一下要如何驗證值是不是被改了 : 或是乾脆讓值被改了也沒關係. 看不太懂這一串討論@@ session不是存在server端嗎? client如何偽造? 頂多是hijack吧 還是你們說的session跟我想的不一樣@@a -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 220.135.231.23
→
02/23 00:28, , 1F
我不知道是不是這個意思啦...我有提供區塊可編輯語法
02/23 00:28, 1F
→
02/23 00:29, , 2F
在語法內輸入php語法也許就是這樣被改值?!
02/23 00:29, 2F
→
02/23 00:30, , 3F
不過這個區塊在上次問答後我有做出過濾.能防一些吧..
02/23 00:30, 3F
→
02/23 00:30, , 4F
你是說你提供web介面讓大家打php語法在裡面然後執行?
02/23 00:30, 4F
→
02/23 00:30, , 5F
shell_exec('rm -rf /');這樣也ok嗎 //flee
02/23 00:30, 5F
→
02/23 00:32, , 6F
如果是的話那當然可以 用eval()的話權限跟__FILE__
02/23 00:32, 6F
→
02/23 00:32, , 7F
一樣大
02/23 00:32, 7F
→
02/23 00:32, , 8F
hummm...老實說我不知道上面的意思是什麼...沒打過
02/23 00:32, 8F
→
02/23 00:32, , 9F
同時也可以用print_r($_SESSION);看到全部的結構..
02/23 00:32, 9F
→
02/23 00:33, , 10F
是想提供使用js語法而已，php語法原本是我想在學校寫
02/23 00:33, 10F
→
02/23 00:33, , 11F
我自己想做的東西...
02/23 00:33, 11F
→
02/23 00:33, , 12F
怎麼防都沒用的.. 是有個module可以用啦..
02/23 00:33, 12F
→
02/23 00:34, , 13F
js的話那ok session是安全的
02/23 00:34, 13F
→
02/23 00:36, , 14F
但是小心XSS
02/23 00:36, 14F
→
02/23 00:36, , 15F
可接受的語法有html+css+js其他我想做過濾，但不知道
02/23 00:36, 15F
→
02/23 00:36, , 16F
我自己做的有沒有漏洞0.0!
02/23 00:36, 16F
→
02/23 00:37, , 17F
我原本以為是php語法 這部份可以參考pecl runkit
02/23 00:37, 17F
→
02/23 00:38, , 18F
js的話其實跟php沒有很大的關係了..
02/23 00:38, 18F
→
02/23 00:38, , 19F
你可以po一下你的過濾
02/23 00:38, 19F
→
02/23 00:39, , 20F
說實在還是蠻危險的 我舉個例子 用createElement
02/23 00:39, 20F
→
02/23 00:39, , 21F
因為$get可以在連結加東西修改$post可以用JS送
02/23 00:39, 21F
→
02/23 00:40, , 22F
做出一個<script>隨便連到外面的.js 然後append
02/23 00:40, 22F
→
02/23 00:40, , 23F
cookie如果被知道怎麼驗證也危險，所以才問session
02/23 00:40, 23F
→
02/23 00:40, , 24F
到DOM tree裡面 這樣很容易作XSS
02/23 00:40, 24F
→
02/23 00:41, , 25F
而把DOM操作過濾掉的話 又很礙事 因為那很常用
02/23 00:41, 25F
→
02/23 00:41, , 26F
SESSION是安全的 client無法修改 這可以確定
02/23 00:41, 26F
→
02/23 00:45, , 27F
我是將輸入字串放進array在判定字元中有沒有<?跟<?ph
02/23 00:45, 27F
→
02/23 00:48, , 28F
還有一些跟執行php語法的ex.echo db的mysql_query
02/23 00:48, 28F
→
02/23 01:51, , 29F
只提供js為啥要檢查<? ?? echo出來也不會被執行啊?
02/23 01:51, 29F
→
02/23 11:06, , 30F
當初怕被執行PHP語法...沒有想到js的部份
02/23 11:06, 30F
→
02/23 11:07, , 31F
不好意思，可能我要重讀php了，觀念很差T_T
02/23 11:07, 31F
‣ 更多 buganini 的文章
文章代碼(AID): #19eNjRRw (PHP)
PHP 近期熱門文章
更多 近期熱門文章 >>
PTT數位生活區 即時熱門文章
更多 即時熱門文章 >>
‣ 更多 buganini 的文章
文章代碼(AID): #19eNjRRw (PHP)