Sécuriser les sessionsRésolu

Question

Bonjour ici :) ,

Je me forme en ce moment au PHP.

Du coup forcement je regarde un peut la sécurité. Et je cherche à éviter le vol de session (enfin j'apprends quoi ^^)

Ce genre de chose vous paraît correct et suffisant d'un point de vue générale ou non ;
 if (!isset($_SESSION['IP_CLIENT'])) {  $_SESSION['IP_CLIENT'] = $_SERVER['REMOTE_ADDR']; } else {  if ($_SESSION['IP_CLIENT'] != $_SERVER['REMOTE_ADDR'])  {   //Vole de session ! (interdi l'IP client, envois de mail, ...)  } }

Merci d'avance

jordane45 · Answer

Bonjour,
Je pense que ceci pourra t'aider :
http://www.xmco.fr/article-owasp-session.html

http://guillaume-affringue.developpez.com/securite/chiffrement/?page=4

Polack77 · Answer

Merci, j'avais déjà consulté le 1er lien mais je découvre le second.

Bon en résumé, sécuriser les sessions ce n'est pas si facile :/

Les changements d'IP (cher OAL notament, évoqués dans le second lien) sont une réalité "vrais", ou son plutôt anecdotique ?

Sinon le coup des tickets, ça me plais pas mal.
Ca ne posera vraiment pas de soucis si mon visiteur fait "précédant" ? Je ne pense pas que cela affecte les cookies, dans le doute je préfère demander ^^ (encore débutant en PHP).

jordane45 · Answer

si mon visiteur fait "précédant" ? Je ne pense pas que cela affecte les cookies, dans le doute je préfère demander
Ca ne modifie les cookies "que" si la page consultée contient du code qui les modifie....
Dans le cas contraire..ça n'a aucune incidence.

Comme indiqué dans beaucoup de discussions... le vol de cookie est quelque chose d'assez rare (car assez compliqué à mettre en place... puisqu'il faut "intercepter" la connexion de l'utilisateur)...;
Mais pour assurer une bonne "protection" à ton site.. le mieux est de passer par du SSL (crypter toute ta session en bref)...

L'utilisation de variables ( IP .. autre Cookie...) pour essayer de controler que la session appartient bien au bon utilisateur n'est de toute façon pas "sûre" .. puisqu'il est possible de toutes les contourner ... émuler un fausse IP  par exemple... 


Comme conseillé dans de nombreux sujets relatifs à la sécurité... il vaut mieux centrer tes efforts sur les failles XSS et l'injection SQL...Cela limite grandement les marges de manoeuvres des éventuels pirates.

Polack77 · Answer

OK, j'avais compris que le SSL est ce qui ce fait de "mieux". Mais pour ce que je veux faire actuellement, ça serait utiliser un bazooka sur une mouche. Je n'ai pas de donnée confidentielle à gérer (bon sauf si un co_ d'utilisateurs utilise son N° de CB comme nom d'utilisateur ou mot de passe XD ). Mais je m'intéresse bien sûr au sujet.

La faille XSS, je l'ai écrit en gros, souligner, surligner, colorier, un vrai Sapin de noël celle ça.
Mais puisqu'on en parle, la fonction "htmlspecialchars" me suffisante (vue qu'elle remplace entre autres les carac < et >, ça me semble OK) . Et concernant l'injection de SQL (je n'ai pas encore potassé ce sujet par contre), ça fait le job ?

Merci encore de ton intérêt :)

jordane45 · Answer

Donc là ..oui c'est en effet étrange comme écriture... ça stockera bien la variable $ticket dans la variable $_COOKIE ... mais ça ne l'écrira pas sur le poste du user (à vérifier.. mais je ne pense pas me tromper).... EDIT : En fait, c'est utilisé pour forcer la variable globale $_COOKIE le temps que tu lances une nouvelle "requete" php Sinon ta variable ne sera pas initialisée (celle que tu envoies via setCookie) tant que tu n'auras pas rechargé la page) Tu peux tester ça par exemple: $valeur = "coucou" ; // on stocke la valeur dans le cookie : test setcookie('test', $valeur, time()+60*30); if(isset($_COOKIE['test']) && !empty($_COOKIE['test']){ // le cookie existe bien : echo "
Il devrait contenir : ".$test; echo "la valeur actuelle du cookie est :".$_COOKIE['test']."
"; }else{ echo "le cookie test est n'existe pas ou est vide !
"; // on charge le cookie avec la valeur : $test $_COOKIE['test'] = $test; echo "
Maintenant la valeur du cookie est :".$_COOKIE['test']."
"; }

Polack77 · Answer

Désolé pour la réponse tardive.

OK, donc si on veut la variable sur la page courante ET sur la/les page/s suivante/s faut faire les deux. Il me semblait bien aussi que c'était pas normal ^^.

Je commence à me sentir armé niveau sessions et cookies (vus la qte de doc avalées ça serait dommage quand même ^^). Et tu m'auras bien aidé, que la farce soit avec toi (oui ce soir c'était tomates farcies maison, alors forcément des séquelles sont là XD)

Sécuriser les sessions

6 réponses

Votre réponse

Discussions similaires