知识屋：更实用的电脑技术知识网站
知识屋 手机游戏 手机软件 电脑软件 最近更新 手机端
冒险村物语 英雄无敌3塔防 驾考家园手游 我的小家破解版 业力汉堡商店
cah职工e家 智能安全管控 易慧 iedukids学习中 闪背
亿彩文本文件批 文件自动分类器（ Win8激活信息备
LOL手游国服和外 LOL手游日服怎么 怎么注册LOL手游 2020双十一活动
所在位置：首页 > 编程技术  > PHP编程

PHP安全编程：会话数据注入

发表时间：2015-05-27来源：网络

一个与会话暴露类似的问题是会话注入。此类攻击是基于你的WEB服务器除了对会话存储目录有读取权限外，还有写入权限。因此，存在着编写一段允许其他用户添加，编辑或删除会话的脚本的可能。下例显示了一个允许用户方便地编辑已存在的会话数据的HTML表单：

 

read()) { if (substr($filename, 0, 5) == 'sess_') { $sess_data = file_get_contents($path/$filename); if (!empty($sess_data)) { session_decode($sess_data); $sess_data = $_SESSION; $_SESSION = array(); $sess_name = substr($filename, 5); $sess_name = htmlentities($sess_name, ENT_QUOTES, 'UTF-8'); echo

Session [$sess_name]

; foreach ($sess_data as $name => $value) { $name = htmlentities($name, ENT_QUOTES, 'UTF-8'); $value = htmlentities($value, ENT_QUOTES, 'UTF-8'); echo

$name:

; } echo '
'; } } } $handle->close(); ?>  

脚本inject.php执行由表单所指定的修改：

 

 

 

 $sess_data){  $_SESSION = $sess_data;  $sess_data = session_encode;  file_put_contents($path/$sess_name, $sess_data);}$_SESSION = array();?>

 

此类攻击非常危险。攻击者不仅可以编辑你的用户的数据，还可以编辑他自己的会话数据。它比会话劫持更为强大，因为攻击者能选择所有的会话数据进行修改，从而使绕过访问限制和其他安全手段成为可能。

针对这个问题的最好解决方案是将会话数据保存在数据库中。参见专题前面的内容。

延伸阅读

 


（免责声明：文章内容如涉及作品内容、版权和其它问题，请及时与我们联系，我们将在第一时间删除内容，文章内容仅供参考）
收藏

上一篇：PHP实例――――万年历

下一篇：PHP微信公众开发笔记(五)

知识阅读

软件推荐

更多 >

游戏推荐

更多 >

精选栏目

热门推荐

  • 人气文章
  • 最新文章
  • 下载排行榜
  • 热门排行榜

手机游戏

手机软件

电脑软件

猜你喜欢

城市 智能 家居 福利 美女 壁纸 截图 照片 修图 新闻 八卦 免费 农业 司机 会议 物流 资源 拍摄 下载 美图 手机 宠物 计算机 服务 汽车 二手 程序员 短视频 播放器 影视 动漫 停车 江浙沪 地铁 公交 抖音 舞蹈 征信 母婴 低息 分期 钱包 区块链 360 投注 彩票 借贷 网贷 借钱 抢票 吃货 购物 WIFI 导航 运动 健康

本站所有软件来自互联网，版权归原著所有。如有侵权，敬请来信告知，我们将及时撤销。

知识屋 www.zhishiwu.com 更实用的电脑技术知识网站

苏ICP备14019037号-7

联系我们