Ein paar Sicherheitsüberlegungen zu $_SESSION und $_COOKIE

[MasterG]

Moin,

dass man jeglichen Input über GET und POST escapen, bzw. überprüfen sollte ist mir wohl bekannt. Aber wie sieht es den mit den Variablen aus $_SESSION und vor allem $_COOKIE?
Wenn ich ein SQL String nach dem Motto "select * FROM 'users' WHERE user = $_COOKIE['username']" hab ich doch eine astreine Injectionmöglickeit. Und sobald jemand auf das Filesystem in den Sessiondateien rumfuscht gilt doch auch hier das gleiche. Also auch hier Werte escapen und irgendwie validieren?

Gruß Georg

[Abraxax]

natürlich.

[mrhappiness]

COOKIE: sinnvoll
Warum:
Daten können vom User nach Belieben geändert werden, daher bei jeder Verwendung validieren



SESSION: überflüssig
Warum:
Direkter Zugriff auf Session ist nur möglich, wenn jemand direkten Zugriff auf den Server hat => Dann hast du ganz andere Probleme.

Du solltest die Daten, die in die Session kommen, beim Reinschreiben validieren, dann kannst du sie gefahrlos verwenden.

[MasterG]

Ich schreibe gerade an einer Request Klasse, die als erstes die Supergloblas überprüft und im weiteren Code wird immer auf die validierten Werte zugegriffen (hoffentlich ). Session packe ich jetzt einfach mal dazu, schadet ja auch nicht. Und da in der Regel die Sessiondaten im /tmp Verzeichnis liegen wo bei Shared Hosting schon mal mehrer zugreifen können ist das wohl schon eine sinnvolle Entscheidung.

[wahsaga]

Ebenfalls mit Vorsicht zu genießen: Bestimmte Werte aus $_SERVER.

[tcpip]

Wenn es ein Problem ist, könnte er die $_SESSION Variabeln mit einem Hash (mit geheimzahl dh Schlüssel) sichern, und ausserdem seine $_SESSION Daten in nur 1 $_SESSION Variable als array abspeichern.

[MasterG]

Ich benutze für das aktuelle Projekt eine Datenbank für die Session, genauer gesagt die "************y" secure_session Funktion von ADODB, die bereits die Daten verschlüsselt ablegt.

Aber meine Klasse soll ja wiederverwertbar werden.

SERVER Variabeln müssen auch validiert werden? Wie denn? Gibt es da was zu beachten?

[wahsaga]

Original geschrieben von MasterG
SERVER Variabeln müssen auch validiert werden?

Jein.
Eher escaped, falls man sie in der Seite ausgeben will - sonst ist in Einzelfällen XSS möglich.

[MasterG]

Ok vielen Dank für die schnelle Antworten!