搜索

[7779] 2014-02-09_[安全科普]你必须了解的session的本质

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-17
2014-02-09_[安全科普]你必须了解的session的本质 [ 安 全 科 普 ] 你 必 须 了 解 的 s e s s i o n 的 本 质 杰 克 船 长   F r e e B u f   2 0 1 4 - 0 2 - 0 9 有 一 点 我 们 必 须 承 认 ， 大 多 数 有 一 点 我 们 必 须 承 认 ， 大 多 数 w e b 应 用 程 序 都 离 不 开 应 用 程 序 都 离 不 开 s e s s i o n 的 使 用 。 这 篇 文 章 将 会 结 合 的 使 用 。 这 篇 文 章 将 会 结 合 p h p 以 及 以 及 h t t p 协 议 来 分 析 如 何 建 协 议 来 分 析 如 何 建 立 一 个 安 全 的 会 话 管 理 机 制 。 立 一 个 安 全 的 会 话 管 理 机 制 。 我 们 先 简 单 的 了 解 一 些 h t t p 的 知 识 ， 从 而 理 解 该 协 议 的 无 状 态 特 性 。 然 后 ， 学 习 一 些 关 于 c o o k i e 的 基 本 操 作 。 最 后 ， 我 会 一 步 步 阐 述 如 何 使 用 一 些 简 单 ， 高 效 的 方 法 来 提 高 你 的 p h p 应 用 程 序 的 安 全 性 以 及 稳 定 行 。 我 想 大 多 数 的 p h p 初 级 程 序 员 一 定 会 认 为 p h p 默 认 的 s e s s i o n 机 制 的 安 全 性 似 乎 是 有 一 定 保 障 的 ， 事 实 恰 好 相 反   –   p h p 团 队 只 是 提 供 了 一 套 便 捷 的 s e s s i o n 的 解 决 方 案 提 供 给 程 序 员 使 用 ， 至 于 安 全 性 的 话 ， 应 该 由 程 序 员 来 加 强 ， 这 是 应 用 程 序 开 发 团 队 的 责 任 。 因 为 ， 这 里 面 的 方 法 很 多 ， 可 以 这 么 说 吧 ， 没 有 最 好 ， 只 有 更 好 。 攻 击 的 方 式 在 不 断 变 化 ， 防 守 方 也 需 要 不 断 变 招 ， 所 以 ， 我 个 人 认 为 p h p 团 队 的 做 法 还 是 比 较 明 智 的 。 无 状 态 性 无 状 态 性 H t t p 是 一 种 无 状 态 性 的 协 议 。 这 是 因 为 此 种 协 议 不 要 求 浏 览 器 在 每 次 请 求 中 标 明 它 自 己 的 身 份 ， 并 且 浏 览 器 以 及 服 务 器 之 间 并 没 有 保 持 一 个 持 久 性 的 连 接 用 于 多 个 页 面 之 间 的 访 问 。 当 一 个 用 户 访 问 一 个 站 点 的 时 候 ， 用 户 的 浏 览 器 发 送 一 个 h t t p 请 求 到 服 务 器 ， 服 务 器 返 回 给 浏 览 器 一 个 h t t p 响 应 。 其 实 很 简 单 的 一 个 概 念 ， 客 户 端 一 个 请 求 ， 服 务 器 端 一 个 回 复 ， 这 就 是 整 个 基 于 h t t p 协 议 的 通 讯 过 程 。 因 为 w e b 应 用 程 序 是 基 于 h t t p 协 议 进 行 通 讯 的 ， 而 我 们 已 经 讲 过 了 h t t p 是 无 状 态 的 ， 这 就 增 加 了 维 护 w e b 应 用 程 序 状 态 的 难 度 , 对 于 开 发 者 来 说 ， 是 一 个 不 小 的 挑 战 。 C o o k i e s 是 作 为 h t t p 的 一 个 扩 展 诞 生 的 ， 其 主 要 用 途 是 弥 补 h t t p 的 无 状 态 特 性 ， 提 供 了 一 种 保 持 客 户 端 与 服 务 器 端 之 间 状 态 的 途 径 ， 但 是 由 于 出 于 安 全 性 的 考 虑 ， 有 的 用 户 在 浏 览 器 中 是 禁 止 掉 c o o k i e 的 。 这 种 情 况 下 ， 状 态 信 息 只 能 通 过 u r l 中 的 参 数 来 传 递 到 服 务 器 端 ， 不 过 这 种 方 式 的 安 全 性 很 差 。 事 实 上 ， 按 照 通 常 的 想 法 ， 应 该 有 客 户 端 来 表 明 自 己 的 身 份 ， 从 而 和 服 务 器 之 间 维 持 一 种 状 态 ， 但 是 出 于 安 全 性 方 面 的 考 虑 ， 我 们 都 应 该 明 白 一 点   –   来 自 客 户 端 的 信 息 都 是 不 能 完 全 信 任 的 。 尽 管 这 样 ， 针 对 维 持 w e b 应 用 程 序 状 态 的 问 题 ， 相 对 来 说 ， 还 是 有 比 较 优 雅 的 解 决 方 案 的 。 不 过 ， 应 该 说 是 没 有 完 美 的 解 决 方 案 的 ， 再 好 的 解 决 方 案 也 不 可 能 适 用 所 有 的 情 况 。 这 篇 文 章 将 介 绍 一 些 技 术 。 这 些 技 术 可 以 用 来 比 较 稳 定 地 维 持 应 用 程 序 的 状 态 以 及 抵 御 一 些 针 对 s e s s i o n 的 攻 击 ， 比 如 会 话 劫 持 。 并 且 你 可 以 学 习 到 c o o k i e 是 怎 样 工 作 的 ， p h p   的 s e s s i o n 做 了 那 些 事 情 ， 以 及 怎 样 才 能 劫 持 s e s s i o n 。
h t t p   概 览 概 览 如 何 才 能 保 持 w e b 应 用 程 序 的 状 态 以 及 选 择 最 合 适 的 解 决 方 案 呢 ？ 在 回 答 这 个 问 题 之 前 ， 必 须 得 先 了 解 w e b 的 底 层 协 议   – H y p e r t e x t   T r a n s f e r   P r o t o c o l   ( H T T P ) 。 当 用 户 访 问 h t t p : / / e x a m p l e . c o m 这 个 域 名 的 时 候 ， 浏 览 器 就 会 自 动 和 服 务 器 建 立 t c p / i p 连 接 ， 然 后 发 送 h t t p 请 求 到 e x a m p l e . c o m 的 服 务 器 的 8 0 端 口 。 该 个 请 求 的 语 法 如 下 所 示 ： G E T   /   H T T P / 1 . 1 H o s t :   e x a m p l e . o r g 以 上 第 一 行 叫 做 请 求 行 ， 第 二 个 参 数 （ 一 个 反 斜 线 在 这 个 例 子 中 ） 表 示 所 请 求 资 源 的 路 径 。 反 斜 线 代 表 了 根 目 录 ； 服 务 器 会 转 换 这 个 根 目 录 为 服 务 器 文 件 系 统 中 的 一 个 具 体 目 录 。 A p a c h e 的 用 户 常 用 D o c u m e n t R o o t 这 个 命 令 来 设 置 这 个 文 档 根 路 径 。 如 果 请 求 的 u r l 是 h t t p : / / e x a m p l e . o r g / p a t h / t o / s c r i p t . p h p , 那 么 请 求 的 路 径 就 是 / p a t h / t o / s c r i p t . p h p 。 假 如 d o c u m e n t   r o o t   被 定 义 为 u s r / l c o a l / a p a c h e / h t d o c s 的 话 , 整 个 请 求 的 资 源 路 径 就 是 / u s r / l o c a l / a p a c h e / h t d o c s / p a t h / t o / s c r i p t . p h p 。 第 二 行 描 述 的 是 h t t p 头 部 的 语 法 。 在 这 个 例 子 中 的 头 部 是 H o s t ,   它 标 识 了 浏 览 器 希 望 获 取 资 源 的 域 名 主 机 。 还 有 很 多 其 它 的 请 求 头 部 可 以 包 含 在 h t t p 请 求 中 ， 比 如 u s e r - A g e n t 头 部 ， 在 p h p 可 以 通 过 $ _ S E R V E R [ & # 0 3 9 ; H T T P _ U S E R _ A G E N T & # 0 3 9 ; ] 获 取 请 求 中 所 携 带 的 这 个 头 部 信 息 。 但 是 遗 憾 的 是 ， 在 这 个 请 求 例 子 中 ， 没 有 任 何 信 息 可 以 唯 一 标 识 当 前 这 个 发 出 请 求 的 客 户 端 。 有 些 开 发 者 借 助 请 求 中 的 i p 头 部 来 唯 一 标 识 发 出 此 次 请 求 的 客 户 端 ， 但 是 这 种 方 式 存 在 很 多 问 题 。 因 为 ， 有 些 用 户 是 通 过 代 理 来 访 问 的 ， 比 如 用 户 A 通 过 代 理 B 连 接 网 站 w w w . e x a m p l e . c o m ,   服 务 器 端 获 取 的 i p 信 息 是 代 理 B 分 配 给 A 的 i p 地 址 ， 如 果 用 户 这 时 断 开 代 理 ， 然 后 再 次 连 接 代 理 的 话 ， 它 的 代 理 i p 地 址 又 再 次 改 变 ， 也 就 说 一 个 用 户 对 应 了 多 个 i p 地 址 ， 这 种 情 况 下 ， 服 务 器 端 根 据 i p 地 址 来 标 识 用 户 的 话 ， 会 认 为 请 求 是 来 自 不 同 的 用 户 ， 事 实 上 是 同 一 个 用 户 。   还 用 另 外 一 种 情 况 就 是 ， 比 如 很 多 用 户 是 在 同 一 个 局 域 网 里 通 过 路 由 连 接 互 联 网 ， 然 后 都 访 问 w w w . e x a m p l e . c o m 的 话 ， 由 于 这 些 用 户 共 享 同 一 个 外 网 i p 地 址 ， 这 会 导 致 服 务 器 认 为 这 些 用 户 是 同 一 个 用 户 发 出 的 请 求 ， 因 为 他 们 是 来 自 同 一 个 i p 地 址 的 访 问 。 保 持 应 用 程 序 状 态 的 第 一 步 就 是 要 知 道 如 何 来 唯 一 地 标 识 每 个 客 户 端 。 保 持 应 用 程 序 状 态 的 第 一 步 就 是 要 知 道 如 何 来 唯 一 地 标 识 每 个 客 户 端 。 因 为 只 有 在 h t t p 中 请 求 中 携 带 的 信 息 才 能 用 来 标 识 客 户 端 ， 所 以 在 请 求 中 必 须 包 含 某 种 可 以 用 来 标 识 客 户 端 唯 一 身 份 的 信 息 。 C o o k i e 设 计 出 来 就 是 用 来 解 决 这 一 问 题 的 。 c o o k i e s 如 果 你 把 C o o k i e s 看 成 为 h t t p 协 议 的 一 个 扩 展 的 话 ， 理 解 起 来 就 容 易 的 多 了 ， 其 实 本 质 上 c o o k i e s 就 是 h t t p 的 一 个 扩 展 。 有 两 个 h t t p 头 部 是 专 门 负 责 设 置 以 及 发 送 c o o k i e 的 , 它 们 分 别 是 S e t - C o o k i e 以 及 C o o k i e 。 当 服 务 器 返 回 给 客 户 端 一 个 h t t p 响 应 信 息 时 ， 其 中 如 果 包 含 S e t - C o o k i e 这 个 头 部 时 ， 意 思 就 是 指 示 客 户 端 建 立 一 个 c o o k i e ， 并 且 在 后 续 的 h t t p 请 求 中 自 动 发 送 这 个 c o o k i e 到 服 务 器 端 ， 直 到 这 个 c o o k i e 过 期 。 如 果 c o o k i e 的 生 存 时 间 是 整 个 会 话 期 间 的 话 ， 那 么 浏 览 器 会 将 c o o k i e 保 存 在 内 存 中 ， 浏 览 器 关 闭 时 就 会 自 动 清 除 这 个 c o o k i e 。 另 外 一 种 情 况 就 是 保 存 在 客 户 端 的 硬 盘 中 ， 浏 览 器 关 闭 的 话 ， 该 c o o k i e 也 不 会 被 清 除 ， 下 次 打 开 浏 览 器 访 问 对 应 网 站 时 ， 这 个 c o o k i e 就 会 自 动 再 次 发 送 到 服 务 器 端 。 一 个 c o o k i e 的 设 置 以 及 发 送 过 程 分 为 以 下 四 步 ： 1 . 客 户 端 发 送 一 个 h t t p 请 求 到 服 务 器 端 2 . 服 务 器 端 发 送 一 个 h t t p 响 应 到 客 户 端 ， 其 中 包 含 S e t - C o o k i e 头 部 3 . 客 户 端 发 送 一 个 h t t p 请 求 到 服 务 器 端 ， 其 中 包 含 C o o k i e 头 部 4 . 服 务 器 端 发 送 一 个 h t t p 响 应 到 客 户 端 这 个 通 讯 过 程 也 可 以 用 以 下 下 示 意 图 来 描 述 ：
客 户 端 的 第 二 次 请 求 中 包 含 的 C o o k i e 头 部 中 ， 提 供 给 了 服 务 器 端 可 以 用 来 唯 一 标 识 客 户 端 身 份 的 信 息 。 这 时 ， 服 务 器 端 也 就 可 以 判 断 客 户 端 是 否 启 用 了 c o o k i e s 。 尽 管 ， 用 户 可 能 在 和 应 用 程 序 交 互 的 过 程 中 突 然 禁 用 c o o k i e s 的 使 用 ， 但 是 ， 这 个 情 况 基 本 是 不 太 可 能 发 生 的 ， 所 以 可 以 不 加 以 考 虑 ， 这 在 实 践 中 也 被 证 明 是 对 的 。 s e s s i o n 的 管 理 的 管 理 直 到 现 在 ， 我 只 讨 论 了 如 何 维 护 应 用 程 序 的 状 态 ， 只 是 简 单 地 涉 及 到 了 如 果 保 持 请 求 之 间 的 关 系 。 接 下 来 ， 我 阐 述 下 在 实 际 中 用 到 比 较 多 的 技 术   –   S e s s i o n 的 管 理 。 涉 及 到 s e s s i o n 的 管 理 ， 就 不 是 单 单 地 维 持 各 个 请 求 之 间 的 状 态 ， 还 需 要 维 持 会 话 期 间 针 对 每 个 特 定 用 户 使 用 到 的 数 据 。 我 们 常 常 把 这 种 数 据 叫 做 s e s s i o n 数 据 ， 因 为 这 些 数 据 是 跟 某 个 特 定 用 户 与 服 务 器 之 间 的 会 话 相 关 联 的 。 如 果 你 使 用 p h p 内 置 的 s e s s i o n 的 管 理 机 制 ， 那 么 s e s s i o n 数 据 一 般 是 保 存 在 / t m p 这 个 服 务 器 端 的 文 件 夹 中 ， 并 且 其 中 的 s e s s i o n 数 据 会 被 自 动 地 保 存 到 超 级 数 组 $ _ S E S S I O N 中 。 一 个 最 简 单 的 使 用 s e s s i o n 的 例 子 ， 就 是 将 相 关 的 s e s s i o n 数 据 从 一 个 页 面 传 递 ( 注 意 ： 实 际 传 递 的 是 s e s s i o n   i d ) 到 另 一 个 页 面 。 下 面 用 示 例 代 码 1 ,   s t a r t . p h p ,   对 这 个 例 子 加 以 演 示 ： 示 例 代 码 1   –   s t a r t . p h p < ? p h p s e s s i o n _ s t a r t ( ) ; $ _ S E S S I O N [ & # 0 3 9 ; f o o & # 0 3 9 ; ]   =   & # 0 3 9 ; b a r & # 0 3 9 ; ; ? >                 < a   h r e f = " c o n t i n u e . p h p " > c o n t i n u e . p h p < / a > 假 如 用 户 点 击 s t a r t . p h p 中 的 链 接 访 问 c o n t i n u e . p h p , 那 么 在 c o n t i n u e . p h p 中 就 可 以 通 过 $ _ S E S S I O N [ & # 0 3 9 ; f o o & # 0 3 9 ; ] 获 取 在 s t a r t . p h p 中 的 定 义 的 值 ’ b a r ’ 。 看 下 面 的 示 例 代 码 2 : 示 例 代 码 2   –   c o n t i n u e . p h p < ? p h p s e s s i o n _ s t a r t ( ) ; e c h o   $ _ S E S S I O N [ & # 0 3 9 ; f o o & # 0 3 9 ; ] ;   / *   b a r   * /   ? > 是 不 是 非 常 简 单 ， 但 是 我 要 指 出 的 话 ， 如 果 你 真 的 这 样 来 写 代 码 的 话 ， 说 明 你 对 p h p 底 层 的 对 于 s e s s i o n 的 实 现 机 制 还 不 是 非 常 了 解 透 彻 。 在 不 了 解 p h p 内 部 给 你 自 动 做 了 多 少 事 情 的 情 况 下 ， 你 会 发 现 如 果 程 序 出 错 的 话 ， 这 样 的 代 码 将 变 的 很 难 调 试 ， 事 实 上 ， 这 样 的 代 码 也 完 全 没 有 安 全 性 可 言 。 s e s s i o n 的 安 全 性 问 题 的 安 全 性 问 题 一 直 以 来 很 多 开 发 者 都 认 为 p h p 内 置 的 s e s s i o n 管 理 机 制 是 具 有 一 定 的 安 全 性 ， 可 以 对 一 般 的 s e s s i o n 攻 击 起 到 防 御 。 事 实 上 ， 这 是 一 种 误 解 ， p h p 团 队 只 实 现 了 一 种 方 便 有 效 的 机 制 。 具 体 的 安 全 措 施 ， 应 该 有 应 用 程 序 的 开 发 团 队 来 实 施 。   就 像 开 篇 谈 到 的 ， 没 有 最 好 的 解 决 方 案 ， 只 有 最 合 适 你 的 方 案 。 现 在 ， 我 们 来 看 下 一 个 比 较 常 规 的 针 对 s e s s i o n 的 攻 击 ：
1 . 用 户 访 问 h t t p : / / w w w . e x a m p l e . o r g ， 并 且 登 录 。 2 . e x a m p l e . o r g 的 服 务 器 设 置 指 示 客 户 端 设 置 相 关 c o o k i e   –   P H P S E S S I D = 1 2 3 4 5 3 . 攻 击 者 这 时 访 问 h t t p : / / w w w . e x a m p l e . o r g / , 并 且 在 请 求 中 携 带 了 对 应 的 c o o k i e   –   P H P S E S S I D = 1 2 3 4 5 4 . 这 样 情 况 下 ， 因 为 e x a m p l e . o r g e 的 服 务 器 通 过 P H P S E S S I D 来 辨 认 对 应 的 用 户 的 ， 所 以 服 务 器 错 把 攻 击 者 当 成 了 合 法 的 用 户 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理