Re: Jak się zabezpieczyć przed skopiowaniem url

X-Received	by 10.107.10.15 with SMTP id u15mr18379222ioi.22.1443427566964; Mon, 28 Sep 2015 01:06:06 -0700 (PDT)
X-Received	by 10.50.92.7 with SMTP id ci7mr130284igb.4.1443427566947; Mon, 28 Sep 2015 01:06:06 -0700 (PDT)
Path	csiph.com!optima2.xanadu-bbs.net!xanadu-bbs.net!news.glorb.com!kq10no12232529igb.0!news-out.google.com!n2ni14297igy.0!nntp.google.com!kq10no12026658igb.0!postnews.google.com!glegroupsg2000goo.googlegroups.com!not-for-mail
Newsgroups	pl.comp.lang.php
Date	Mon, 28 Sep 2015 01:06:06 -0700 (PDT)
In-Reply-To	<1d538c8e-831f-4ed7-8c15-81e8738fbe68@googlegroups.com>
Complaints-To	groups-abuse@google.com
Injection-Info	glegroupsg2000goo.googlegroups.com; posting-host=89.25.186.109; posting-account=E-z6ZwoAAACYsJZxZNjBCrM3zzyF6Vo_
NNTP-Posting-Host	89.25.186.109
References	<1d538c8e-831f-4ed7-8c15-81e8738fbe68@googlegroups.com>
User-Agent	G2/1.0
MIME-Version	1.0
Message-ID	<8345c6da-d7e3-4991-9b96-0595834876e0@googlegroups.com> (permalink)
Subject	Re: Jak się zabezpieczyć przed skopiowaniem url
From	mwitkowski2b@gmail.com
Injection-Date	Mon, 28 Sep 2015 08:06:06 +0000
Content-Type	text/plain; charset=ISO-8859-2
Content-Transfer-Encoding	quoted-printable
Xref	csiph.com pl.comp.lang.php:14911

Show key headers only | View raw

Rozumiem, że Pan Borys uważa wszystkich audytorów pracujących np. w bankach za idiotów, bo większość banków stosuje tego typu zabezpieczenie.

W ramach swojej strony nie przekazuję id sesji w URL, wszystkie dane są przekazywane metoda POST i są odpowiednio walidowane.

Stosowanie identyfikatora w COOKIE, po pozytywnym logowaniu nie wystarcza.
Poniżej prosty przykład na sprawdzenie tej tezy (plik index.php wywołuje plik dwa.php):

[plik index.php]
<?php
// może być np: uniqid(), ale chodzi tylko o sprawdzenie
// nastapiło pozytywne logowanie więc ustawiam jakiś identyfikator
$token = "12345";
setcookie("token", $token);
echo "Jestem w INDEX.PHP " . "<br>";
echo "Ustawiam cookie na " . $token . "<br>";
?>

<html>
<form action="dwa.php" method="POST">
<p>Test</p>
<input type="submit" value="DWA"> 
</form>
</html>

[plik dwa.php]
<?php
echo "Jestem w DWA.PHP " . "<br>";
$token = "";
$token = $_COOKIE["token"];
echo "czytam cookie = " . $token . "<br>";
?>
<html>
<a href="index.php">Back</a>
<html>


Uruchamiamy plik index.php, wybieramy przycisk "DWA" pojawia się zawartość wygenerowana przez dwa.php. Teraz kopiujemy url do sąsiedniej zakładki i niestety
bez problemu da się zobaczyć efekt działania pliku dwa.php. Więc cookie nie wystarcza. Chyba, że ja czegoś nie rozumiem?


Pozdrawiam
MW

Back to pl.comp.lang.php | Previous | Next — Previous in thread | Next in thread | Find similar

Thread

Jak się zabezpieczyć przed skopiowaniem url mwitkowski2b@gmail.com - 2015-09-25 00:37 -0700
  Re: Jak się zabezpieczyć przed skopiowaniem url "M.M." <mmarszik@gmail.com> - 2015-09-25 04:38 -0700
  Re: Jak się zabezpieczyć przed skopiowaniem url mwitkowski2b@gmail.com - 2015-09-25 05:31 -0700
    Re: Jak się zabezpieczyć przed skopiowaniem url "M.M." <mmarszik@gmail.com> - 2015-09-25 06:30 -0700
  Re: Jak się zabezpieczyć przed skopiowaniem url mwitkowski2b@gmail.com - 2015-09-25 07:14 -0700
    Re: Jak się zabezpieczyć przed skopiowaniem url "M.M." <mmarszik@gmail.com> - 2015-09-25 07:58 -0700
      Re: Jak się zabezpieczyć przed skopiowaniem url Rafal Podsiadly <spinacz24@gmail.com> - 2015-09-25 08:22 -0700
      Re: Jak się zabezpieczyć przed skopiowaniem url "PawelS cbrbob(at)wbcd(dot)pl" <fake@email.org> - 2015-09-26 12:10 +0200
        Re: Jak się zabezpieczyć przed skopiowaniem url Borys Pogoreło <borys@pl.edu.leszno> - 2015-09-27 15:29 +0200
        Re: Jak się zabezpieczyć przed skopiowaniem url "M.M." <mmarszik@gmail.com> - 2015-09-28 08:11 -0700
  Re: Jak się zabezpieczyć przed skopiowaniem url mwitkowski2b@gmail.com - 2015-09-28 01:06 -0700
    Re: Jak się zabezpieczyć przed skopiowaniem url Borys Pogoreło <borys@pl.edu.leszno> - 2015-09-28 18:46 +0200
      Re: Jak się zabezpieczyć przed skopiowaniem url "PawelS cbrbob(at)wbcd(dot)pl" <fake@email.org> - 2015-10-02 23:08 +0200
        Re: Jak się zabezpieczyć przed skopiowaniem url Borys Pogoreło <borys@pl.edu.leszno> - 2015-10-05 12:55 +0200
  Re: Jak się zabezpieczyć przed skopiowaniem url Bolek <bolek@lolek.com> - 2015-09-28 12:57 +0200
    Re: Jak się zabezpieczyć przed skopiowaniem url Borys Pogoreło <borys@pl.edu.leszno> - 2015-09-28 18:48 +0200
      Re: Jak się zabezpieczyć przed skopiowaniem url "M.M." <mmarszik@gmail.com> - 2015-09-28 09:52 -0700
      Re: Jak się zabezpieczyć przed skopiowaniem url Bolek <bolek@lolek.com> - 2015-09-29 10:31 +0200
  Re: Jak się zabezpieczyć przed skopiowaniem url mwitkowski2b@gmail.com - 2015-09-28 06:42 -0700
  Re: Jak się zabezpieczyć przed skopiowaniem url mwitkowski2b@gmail.com - 2015-09-29 06:31 -0700

csiph-web