На сколько можно доверять СЕССИИ

[Flanker]

На сколько можно доверять СЕССИИ

Попробывал сделать движок безопасности,
Так как страница фреймовая, то в каждом движке, которые подгружаються в фрейм-есть эта система.
Суть : Пользователь проходит аунтификацию, после чего создаеться индетификатор пользователя который имеет право на работу, он заноситься в файл мд5 и в сессию без кодирования, каждый движок анализирует сессию и файл, после чего допускает к работе. Так как в сессии храниться незашифрованый индефикатор,...., так на сколько я могу доверять сессии?


Просьба: попробуйте найти(логический) обход этой системы, посоветуйте свои алгоритмы, технологии безопасности.

Спасибо.

 

[MadGreen]

сломать можно зная только SID... или отслеживая трафик...
в принципе сломать можно вообще все, но нужен ли твой сайт большим профи?

 

[Фанат]

MadGreen
ты знаешь, где по умолчанию хранятся на хостинге файлы сессий?

 

[MadGreen]

Фанат
знаю..
и что?

 

[Фанат]

и продолжаешь тверждать, что сломать можно только зная сид?

 

[MadGreen]

про SID я имел ввиду не чтение сессионных переменных, а просто доступ к закрытой части скрипта после входа с идентификатором открытой сессии, хотя это и фантастика конечно..

-~{}~ 22.08.06 15:10:

разве на нормальном хостинге можно пролезть к папке хранения?

 

[Фанат]

что ты называешь папкой хранения?

 

[MadGreen]

php/tmp
папку хранения файлов сессий
ты про чтение этих файлов или другой вариант?

 

[Фанат]

что такое php/tmp?
где ты видел такую папку?

 

[MadGreen]

/tmp на реальном хостинге
/php/tmp на локальном...
по умолчанию
я ошибаюсь?

 

[Фанат]

ну мы-то сейчас говорим о реальном?
ну так ты считаешь, что на реальном хостинге "нельзя пролезть" к /tmp ?

 

[MadGreen]

не заливая своего скрипта на хост, не ломая существующий через его уязвимости, думаю нет
можно?

 

[Фанат]

не заливая своего скрипта на хост

а какие проблемы?

 

[MadGreen]

ты хочешь сказать что без проблем абсолютно зальешь файл на чужой хост?

 

[Gorynych]

Фанат
кстати, про каталог хранения сессий: у того же Зенона они конечно все вместе валяются, но каждый файл имеет своего владельца и права 0600, так что не все так плохо, как думается

 

[MadGreen]

Фанат
не ирония и не стеб, просто уже интересно

-~{}~ 22.08.06 15:44:

Gorynych
причем тут владелец, если скрипт будет залит скриптом про права можешь забыть
а если в апаче и фтп один владелец, тогда и подавно...
но как залить???

 

[Фанат]

Gorynych
Ты говоришь о тарифе проф.
а надо ещё посмотреть, что там на Рабочем.
И Зенон - не единственный провайдер

 

[Gorynych]

Фанат
я проверил для "проф" и "делового". У меня нет ни одного сайта под рукой на "рабочем", хотя это был бы интересный вариант для тестирования.

 

[Фанат]

на профе-то, извини, у каждлго свой апач.
что для шаред хостинга довольно нетипично, согласись

 

[Gorynych]

Фанат

думаешь на "деловом" тоже? Типа все так же, как на профи только вместо доступа к конфигу - функционал сервера статистики?

-~{}~ 22.08.06 15:54:

Зенон, конечно, не единственный провайдер. Но он - правильный провайдер