PHP सर्वर उपयोगकर्ता एजेंट और आईपी को हाइजैकिंग को रोकने के लिए आईपी

Question

मैं सत्र अपहरण को रोकने के तरीके को समझने की कोशिश कर रहा हूं। यहां मैं क्या करने की सोच रहा था:

उपयोगकर्ता आईडी सत्र के साथ, उपयोगकर्ता एजेंट और उपयोगकर्ता आईपी सत्र भी जोड़ें। प्रत्येक बार जब कोई पृष्ठ लोड होता है, तो इन सत्रों को जांचने के लिए जांच की जाएगी कि क्या वे मेल खाते हैं - क्या यह पर्याप्त होगा? उदाहरण के लिए:

<?php 

$userIp = $_SESSION['userIp']; 
$userAgent = $_SESSION['userAgent']; 

if ($userIp != $_SERVER['REMOTE_ADDR'] || $userAgent != $_SERVER['HTTP_USER_AGENT'] { 
    session_destroy(); 
} 

?> 

धन्यवाद।

Answer 1

यह उससे कहीं अधिक जटिल है। विभिन्न साइट्स के साथ विभिन्न प्रकार के लोगों द्वारा आपकी साइट/सेवा का उपयोग किया जाएगा। पहली बात यह है कि गलत हो सकता है अगर कोई प्रॉक्सी सर्वर से गुजर रहा है। आईपी ​​जो आपका ऐप देखेगा बदल सकता है, और सत्र वैध उपयोगकर्ता के लिए भी तोड़ देगा।

यदि आपको आईपी के साथ कुछ करने की ज़रूरत है, तो आप बहुत अधिक झूठी सकारात्मकताओं के बिना कर सकते हैं, मूल देश/क्षेत्र की जांच कर रहे हैं। यदि आप कनाडा से एक लॉगिन और भारत से दूसरे में से एक का पता लगाते हैं, तो कोई समस्या हो सकती है। फिर भी, यह मूर्ख-प्रमाण नहीं है।

उपयोगकर्ता एजेंट नकली भी बहुत आसान है: अगर मैं किसी के PHPSESSIONID प्राप्त कर सकता हूं, तो मैं निश्चित रूप से अपने उपयोगकर्ता एजेंट को भी प्राप्त कर सकता हूं। तो यहां बहुत कुछ हासिल नहीं किया गया है।

किसी के सत्र की रक्षा करने का सबसे अच्छा तरीका है HTTPS के पीछे प्रमाणित सबकुछ डालना, और यह सुनिश्चित करना कि सत्र कुकी केवल HTTPS है।

EDIT: यदि यह उस बिंदु पर आता है जहां आप सत्र के पीछे सुरक्षा कर रहे डेटा बेहद संवेदनशील हैं, और आपके उपयोगकर्ताओं को इसके बारे में पता होना चाहिए, तो आप उन्हें हमेशा उनके लिए लॉग इन किए गए अन्य सत्र दिखा सकते हैं उपयोगकर्ताओं। उदाहरण के लिए जीमेल द्वारा भी यही काम किया जाता है।

Answer 2

मैं z42

भी सहमत हूँ मैं आप एक नमक पैदा करते हैं और एक सत्र में और अपने डाटाबेस में अच्छी तरह से में यह स्टोर कर सकते हैं, और शर्तों बनाने के लिए आपकी साइट पर, एक दृष्टिकोण का सुझाव चाहते हैं हर एक उपयोगकर्ता के लॉगिन सफलतापूर्वक यह जांचने के लिए कि क्या उपयोगकर्ता पहले से लॉग इन है या नहीं, इसके साथ आप एकाधिक उपयोगकर्ताओं को एक ही खाते से एक ही खाते में लॉगऑन करने से रोक सकते हैं और जब उपयोगकर्ता लॉग ऑफ करते हैं तो डीबी से एसएएलटी को नष्ट कर सकते हैं।