Нет способа предотвратить перехват сеанса на 100%, но при некотором подходе мы можем сократить время, в течение которого злоумышленник может перехватить сеанс.
Способ предотвращения перехвата сеанса:
1 - всегда использовать сеанс с ssl-сертификатом;
2 - отправлять сеансовый cookie только с установленным значением trueponly (запретить JavaScript доступ к сеансовому cookie)
2 - использовать идентификатор регенерации сеанса при входе в систему и выходе из системы (примечание: не используйте регенерацию сеанса при каждом запросе, потому что если у вас есть последовательный запрос ajax, у вас есть шанс создать несколько сеансов.)
3 - установить время ожидания сеанса
4 - хранить пользовательский агент браузера в переменной $ _SESSION и сравнивать с $ _SERVER ['HTTP_USER_AGENT'] при каждом запросе
5 - установить токен cookie и установить время истечения срока действия этого куки до 0 (пока браузер не закроется).
Регенерируйте значение cookie для каждого запроса. (Для ajax-запроса не создавайте заново токен cookie).
EX:
//set a token cookie if one not exist
if(!isset($_COOKIE['user_token'])){
//generate a random string for cookie value
$cookie_token = bin2hex(mcrypt_create_iv('16' , MCRYPT_DEV_URANDOM));
//set a session variable with that random string
$_SESSION['user_token'] = $cookie_token;
//set cookie with rand value
setcookie('user_token', $cookie_token , 0 , '/' , 'donategame.com' , true , true);
}
//set a sesison variable with request of www.example.com
if(!isset($_SESSION['request'])){
$_SESSION['request'] = -1;
}
//increment $_SESSION['request'] with 1 for each request at www.example.com
$_SESSION['request']++;
//verify if $_SESSION['user_token'] it's equal with $_COOKIE['user_token'] only for $_SESSION['request'] > 0
if($_SESSION['request'] > 0){
// if it's equal then regenerete value of token cookie if not then destroy_session
if($_SESSION['user_token'] === $_COOKIE['user_token']){
$cookie_token = bin2hex(mcrypt_create_iv('16' , MCRYPT_DEV_URANDOM));
$_SESSION['user_token'] = $cookie_token;
setcookie('user_token', $cookie_token , 0 , '/' , 'donategame.com' , true , true);
}else{
//code for session_destroy
}
}
//prevent session hijaking with browser user agent
if(!isset($_SESSION['user_agent'])){
$_SESSION['user_agent'] = $_SERVER['HTTP_USER_AGENT'];
}
if($_SESSION['user_agent'] != $_SERVER['HTTP_USER_AGENT']){
die('session hijaking - user agent');
}
примечание: не восстанавливать cookie-токен с помощью запроса ajax
примечание: приведенный выше код является примером.
примечание: если пользователи выходят из системы, токен cookie должен быть уничтожен так же, как и сеанс
6 - нецелесообразно использовать ip пользователя для предотвращения перехвата сеанса, поскольку некоторые пользователи меняют ip с каждым запросом. ЭТО ВЛИЯЕТ НА ДЕЙСТВИТЕЛЬНЫХ ПОЛЬЗОВАТЕЛЕЙ
7 - лично я храню данные сеанса в базе данных, вам решать, какой метод вы выберете
Если вы обнаружите ошибку в моем подходе, пожалуйста, исправьте меня. Если у вас есть больше способов предотвратить сессионный хиджак, сообщите мне.