אבטחת עוגיות

[Eran-s]

נכתב במקור על ידי The Crow

בהוספה של המשתמש למסד, אתה יוצר מחרוזת רנדומלית כלשהי (רצוי להצפין אותה עם md5)
ובהתחברות של המשתמש אתה בודק אם השם משתמש והסיסמא נכונים, אם כן,
אתה יוצר עוגיה עם הערך של המחרוזת הרנדומלית שיצרת בהרשמה.

ואז בכל עמוד שאתה רוצה לבדוק אם המשתמש מחובר, אתה בודק האם הערך של העוגיה קיים במסד, ואם כן, שולף את הפרטים של המשתמש הזה.

בהצלחה גורוש

זה מה שבעצם ניר הסביר...

אני קצת חושש מהדרך הזו, מכיוון שאם מכניסים לעוגיה את הערך הזה בלבד אז יכולים ליצור עוגיות בניסוי וטעייה ע"י אקספלוייט

[Daniel]

נכתב במקור על ידי Eran-s

זה מה שבעצם ניר הסביר...

אני קצת חושש מהדרך הזו, מכיוון שאם מכניסים לעוגיה את הערך הזה בלבד אז יכולים ליצור עוגיות בניסוי וטעייה ע"י אקספלוייט

אפשר להוסיף לזה עוד משתנים רנדומאליים, או משהו כמו:

PHP קוד:

$str = $username.substr(0, strlen(md5($password) - 16), $password).mt_rand(0,9999);
$str = substr(0, 16, md5($str)); 


מה דעתכם?

זה מה שבעצם ניר הסביר...

מהנה להיות עז.