SESSION的安全性WEB安全电脑资料.docVIP

SESSION的安全性WEB安全电脑资料 因为有相同的session id包含在请求的Cookie头部中，所以相同的php session将会被访问到， 像这种情况下，发现浏览器的头部改变了，但是不能肯定这是否是一次攻击者的请求的话，比较好的措施就是弹出一个要求输入密码的输入框让用户输入，这样的话，对用户体验 ___不会很大，又能很有效地防止攻击。 当然，你可以在系统中加入核查User-Agent头部的代码，类似Listing 3中的代码： 当然，你先必须在第一次请求时，初始化session的时候，用MD5算法加密user agent信息并且保存在session中，类似下面listing4中的代码： 虽然不一定需要用MD5来加密这个User-Agent信息，但使用这种方式以后就不需要再过滤这个$_SERVER[_USER_AGENT]数据了。不然的话，在使用这个数据以前必须要进行数据过滤，因为任何客户端的数据都是不可信任的，必须要注意这一点。 在你检查这个User-Agent客户端头部信息以后，做为一个攻击者必须要完成两步才能劫持一个session: 你可能会说，居然攻击者能获得有效的session id,那么以他的水平，伪造一个相同的User-Agent不是件难事。不错，但是我