היי , יש משהו שאני מפספס .. אני רוצה לכתוב מערכת login , להלן ;
משתמש נכנס לאתר , ויכול לבצע לוגין בעזרת כפתור שיש בצד או יכול לגלוש לעמודים באתר .
עכשיו אני רוצה לעשות שאם הוא ביצע לוגין ואז יגלוש לעמודים באתר הוא לא יתבקש להכניס ססמא , אך אם הוא לא ביצע לוגין כאשר הוא ירצה לגלוש לאחד העמודים באתר זה יעביר אותו לחלון שמחייב אותו לבצע לוגין ..

בעמוד הלוגין אני אמור לפתוח session ?
בעמודים שבאתר אני צריך לבדוק קודם כל אם יש Session פתוח ורק אם כן להכניס אותו ואם לא להעביר אותו לעמוד לוגין ?

אני מפספס פה כמה דברים בהבנה הכללית ...
מישהו יכול להושיט יד ? בתודה מראש ,

המקרה הכי פשוט (וגם לא מאובטח) הוא כזה:
- כל עמוד אתה פותח סשן (session_start)
- בעמוד שאתה עושה לוגין, אתה מוסיף ערך לסשן:

קוד PHP:

 $_SESSION['loggedOn'] = true; 


- בכל עמוד שצריך סיסמא אתה בודק אם היוזר התחבר כבר:

קוד PHP:

 if ($_SESSION['loggedOn'] !== true) header('Location: login.php'); 


הסנריו הזה לא מאובטח בכלל, כיוון שתוקף יכול לזייף עוגיה בערך loggedOn=true והוא מחובר.
יש כל מני דרכים לשפר את זה, כמו עם לשלוח (ולשמור) את הsession id בדאטאבייס או כל התחברות ליצור id חדש לסשן, או לשמור בתור עוגיה עוד hash של משהו שרק המשתמש יכול לדעת.

תעשה חיפוש בגוגל php session security

איך הוא יכול לשנות SESSION עם עוגיה?

הSESSION נקבע כתוצאה מההתחברות (אם היא תקינה), איך הוא ישנה את הSESSION, חוץ מלהתחבר כרגיל.?

בברכה,

לא התכוונתי לשנות סשן, התכוונתי לגנוב סשן

אם מישהו מאזין לחיבור שלך, אז הוא יכול להסתכל איזה עוגיה אתה שולח, ואז לפתוח חיבור לשרת עם אותה עוגיה, והוא מחובר על שמך.
ברגע שבכל קריאה לשרת אתה עושה session_regenerate_id() אז אתה לא משתמש באותה עוגיה פעמיים ואז אין בעיה שמישהו יקרא לך את העוגיה

כנראה שאני לא מבין את כוונתך \ את דרך ההגנה הזו..

כי, יצירת הSESSION, נעשית בהתחלת ריצת הדף - וכתוצאה מהעוגיה (אם הפרטים נכונים).

ז"א, שאם התוקף העתיק את העוגיה ונכנס לאתר - תעבור ולידאציה על העוגיה - ובמקרה שזה נכון - הסשן יווצר.

איך זה יעזור לשנות את ה-id אם יש לו את העוגיה? הרי הוא פשוט יכנס לאתר כרגיל (עם העוגיה) והסשן יווצר..

בברכה,

השרת הרי שומר אצלו לכל סשן את האיידי שלו שכך הוא מזהה אותו.
ניקח משתמש A שכרגע מתחבר פעם ראשונה לאתר. האתר נותן לו למשל את האיידי 1111 ושולח לו את זה חזרה.
כעת אם משתמש B רואה את מה שהשרת מחזיר למשתמש A, הוא יודע שהסשן איידי של A הוא 1111. לכן כאשר המשתמש A עושה לוגין ומזדהה ע"י סיסמא, השרת ישנה לו את הסשן איידי בכל קריאה שהמשתמש עושה לשרת.

נכון שזה עדיין לא מונע בעיות, כיוון שיכול להיווצר מצב שהסשן איידי לא מוחלף מהר מספיק והסשן "נגנב" ע"י משתמש B, אבל זה עדיין יותר בטוח מסתם לתת סשן איידי יחיד. (גם את זה יש דרכים לפתור)

מקווה שאני יותר מובן.. אצלי בראש זה מסתדר

מצטער, משום מה נשלח פעמיים..

בברכה,