$_SESSION hijacking

[TobiaZ]

Also für mich sieht es so aus, als gäbe es EINE Session und EIN array $_SESSION auf das beide Systeme zugreifen.

... und genau bei dieser EINEN Session handelt es sich um DIE EINE Session des Users. Das beide Systeme DIESE EINE Session für ihre eigene halten ist ein Fehler in deiner Programmierung.

die Gültigkeit des vergebenen Session-Cookies auf dein Unterverzeichnis zu beschränken?

höchstens, wenn er den Usern den Gebrauch von Cookies vorschreibt.

[prego]

Original geschrieben von TobiaZ
höchstens, wenn er den Usern den Gebrauch von Cookies vorschreibt.

ok, davon ging is aus...

[zordak]

Original geschrieben von TobiaZ
... und genau bei dieser EINEN Session handelt es sich um DIE EINE Session des Users. Das beide Systeme DIESE EINE Session für ihre eigene halten ist ein Fehler in deiner Programmierung.

@TobiaZ:
Genau so hab ich doch das Problem am Anfang erkannt und geschildert. Schön, dass wir jetzt beide vom gleichen Sachverhalt sprechen und du den Grund meines Postings verstehst. Wahsaga hat's zwar meine Ausführung zur Session zwar sehr pauschal als Unfug abgetan, aber gut...

Ruppigkeit wird hier im Forum von einigen wohl groß geschrieben. Trotzdem bedanke ich mich für die Zahlreichen Postings und Vorschläge.

Achso, tobiaZ zu deiner Frage: Ich werde dafür bezahlt und das nichtmal schlecht. Uniforschung halt.

Grüße
Daniel

[wahsaga]

Original geschrieben von zordak
Wahsaga hat's zwar meine Ausführung zur Session zwar sehr pauschal als Unfug abgetan, aber gut...

Deine Schlussfolgerung, der Nutzer übernehme eine "offene Session als seine eigene", ist Unfug.

Es war von Anfang an seine Session.

[zordak]

@wahsaga
Also reden wir doch aneinander vorbei. Ich meinte nicht den Nutzer, sondern das System selbst, dass eine offene Session mit dem gleichen User fortsetzt und "denkt" es wäre die eigene. Dass der User nur eine Session hat, ist ja logisch, sonst gäbe es das Problem nicht. Ich sehe gerade ich habe weiter unten "er" geschrieben. Da hätte ich wohl besser "Der Prozess" genommen. Nix für ungut.

Grüße
Daniel

[wahsaga]

Original geschrieben von zordak
Ich meinte nicht den Nutzer, sondern das System selbst, dass eine offene Session mit dem gleichen User fortsetzt und "denkt" es wäre die eigene.

Auch das "denkt" das System nicht, sondern es ist einfach so.


Du hast aus ein und der selben Session ein und den selben Wert genommen - um anhand diesem über zwei verschiedene, voneinander unabhängige Stati zu entscheiden.

Dass der User nur eine Session hat, ist ja logisch, sonst gäbe es das Problem nicht.

Ein User kann durchaus mehrere Sessions haben.

[zordak]

ja ein user KANN mehrere session haben, hat sie aber in diesem fall nicht...

ich lass es sein. das hier führt zu nix. wir diskutieren hier um kaisers bart.

[kuddeldaddeldu]

Hi,

ich lass es sein. das hier führt zu nix. wir diskutieren hier um kaisers bart.

Wenn Du Dich drauf einlassen würdest, statt gleich Ruppigkeit zu unterstellen, könntest Du dabei dazulernen und Dein Problem auch verstehen (und ich meine wirklich verstehen, nicht nur die Lösung kennen). Wenn Du an der Uni bist, müsstest Du doch an solches Herumreiten auf Formulierungen gewöhnt sein und wissen, wie wichtig eine eindeutige Terminologie und präzise Aussagen sind. Und dein Aussagen waren halt nicht nur unpräzise, sondern schlichtweg falsch. Das Du dann hier korrigiert wirst, ist keine Klugscheisserei, Wichtigtuerei, Ruppigkeit oder sonstwas, sondern soll Dir helfen, das eigentliche Problem bzw. den Sachverhalt auch richtig zu verstehen.

LG

[zordak]

@kuddeldaddeldu
Achso, ich wußte nicht dass das anzweifeln meiner Fachkompetenz zur einer sachlichen Diskussion hier gehört. (siehe TobiaZ).

Ich lasse mir gerne helfen und berichtigen, allerdings nur so lange es nicht in eine Diskussion um den vermeintlich richtigen Terminus ausartet. Der Witz ist ja, dass hier jeder - einschließlich mir - weiß über was wir reden, sich nur einige an meiner Formulierung stoßen und meinen jedes Wort in meinen Sätzen auf die Goldwaage legen zu müssen. Sowas hier z.B.:

Original geschrieben von wahsaga
Auch das "denkt" das System nicht, sondern es ist einfach so.

Klar dass ein System nicht DENKT. Darum stehts auch in Anführungszeichen.

Aus meiner Sicht ist das Problem klar formuliert und ich freue mich über Vorschläge, die auch wirklich sachdienlich sind. Auch auf der Uni wird eine solche Haarspalterei eher selten betrieben. Ich bin wirklich allen sehr dankbar, die sich hier zu Wort gemeldet haben, aber diese "Man kann es NOCH treffender sagen"-Mentalität nervt mich offen gesagt etwas.


Beispiel:
Man kann auch das Wort "Stuhl" durch "Sitzgelegenheit mit 4 Beinen" ersetzen, aber das macht weder den Gegenstand besser noch ist es genauer formuliert, weil jeder weiß wie so ein Ding ausschaut.

Ich bin hier echt keinem böse, aber man sollte mit Worten wie Unfug usw. vorsichtig sein, bevor man Rückfrage gehalten hat. Texte transportieren bekanntlich keinen Subtext und es ist schwer zu erkennen WIE etwas gemeint ist. Darum redet man im Internet auch oft aneinander vorbei oder Situationen eskalieren (unnötigerweise).

Habe das Problem übrigens mit einem zusätzlichen Eintrag für das Sessionfolder (außerhalb des Webverzeichnis) in die .htaccess gelöst, die komplett nun so aussieht:

php_flag register_globals off
php_value session.save_path /absoluter/pfad/sysA_sessiontemp

Beste Grüße
Daniel

[wahsaga]

Original geschrieben von zordak
Ich lasse mir gerne helfen und berichtigen, allerdings nur so lange es nicht in eine Diskussion um den vermeintlich richtigen Terminus ausartet.

Da gibt es nicht viel zu diskutieren.

Im Prinzip übernimmt er ja eine offene Session als die eigene.

Diese deine Aussage gibt den Sachverhalt schlicht und einfach falsch wieder.

Mag ja sein, dass du es schon verstanden hattest - korrekt ausgedrückt hattest du es zu diesem Zeitpunkt aber nicht.

[zordak]

Original geschrieben von zordak
@wahsaga
Ich meinte nicht den Nutzer, Ich sehe gerade ich habe weiter unten "er" geschrieben. Da hätte ich wohl besser "Der Prozess" genommen. Nix für ungut.

Spätestens da wars doch klar. Ich versteh wie gesagt den ganzen Zirkus nicht. Für mich ist das Thema erledigt, das Problem gelöst und gleichzeitig Feierabend. Danke an alle und bis dann...


Daniel

[wahsaga]

Original geschrieben von zordak
Spätestens da wars doch klar. Ich versteh wie gesagt den ganzen Zirkus nicht. Für mich ist das Thema erledigt, das Problem gelöst und gleichzeitig Feierabend.

Ja, schön für dich.

Es lesen aber vielleicht auch noch andere diesen Thread, die ebenfalls noch Probleme mit dem Verständnis von Sessions haben - und da sind fachlich unzutreffende Aussagen, die nicht richtig gestellt werden, sicher weniger hilfreich.

[zordak]

Original geschrieben von wahsaga

Es lesen aber vielleicht auch noch andere diesen Thread, die ebenfalls noch Probleme mit dem Verständnis von Sessions haben - und da sind fachlich unzutreffende Aussagen, die nicht richtig gestellt werden, sicher weniger hilfreich.

Schön, dass du diese Aufgabe zur Gänze wahrnimmst. Wer meinen ersten Post hier AUFMERKSAM gelesen hat, für den sollte die Sachlage klar sein. Dort habe ich sehr genau beschrieben wies ausschaut. Durch deine Vermutung, dass ich mit "er" nicht über den Prozess sondern über den User spreche kams doch erst zu diesem Flame. Egal, was du jetzt antwortest, ich werds gut sein lassen und nicht mehr drauf eingehen. Wundert mich eh, dass du als Mod nichts besseres zu tun hast, als die Haare in der Suppe zu suchen. Gibt nicht nocht mehr Threads, die deine Aufmerksamkeit fordern?

Adios

[wahsaga]

Original geschrieben von zordak
Durch deine Vermutung, dass ich mit "er" nicht über den Prozess sondern über den User spreche kams doch erst zu diesem Flame.

Welchen Flame?

Wenn hier jemand "flamed", dann wohl du - weil du dich auf den Schlips getreten fühlst, wenn man dir sagt, dass das, was du schreibst, den Sachverhalt nicht korrekt wiedergibt.

[Koala]

http://lugbz.org/documents/smart-questions_de.html

Wir wissen aus Erfahrung, dass Leute mit oberflächlichem und schlampigem Schreibstil auch oberflächliche und schlampige Denker und Coder sind (jedenfalls oft genug, um darauf wetten zu können). Solchen Leuten Fragen zu beantworten, lohnt sich nicht; mit dieser Zeit können wir etwas Besseres anfangen.