{"id":4729,"date":"2010-10-07T15:16:08","date_gmt":"2010-10-07T13:16:08","guid":{"rendered":"https:\/\/www.artera.net\/it\/blog\/?p=4729"},"modified":"2023-02-27T14:54:58","modified_gmt":"2023-02-27T14:54:58","slug":"sicurezza-in-php-session-hijacking","status":"publish","type":"post","link":"https:\/\/www.artera.net\/it\/sviluppo\/sicurezza-in-php-session-hijacking\/","title":{"rendered":"Sicurezza in PHP: Session Hijacking"},"content":{"rendered":"

\"PhpIniziamo una serie di articoli sulla sicurezza delle applicazioni web<\/strong> realizzate in PHP.<\/p>\n

Come primo argomento analizziamo il problema del Session Hijacking<\/strong> e cerchiamo di difenderci come possibile.<\/p>\n

In cosa consiste<\/h2>\n

La pratica del Session Hijacking<\/strong> consiste nel conseguire l’accesso non autorizzato<\/strong> su un sistema tramite l’abuso delle chiavi di sessione e generalmente prevede la manipolazione dei cookie dei browser.<\/p>\n

La tecnica pi\u00f9 banale dal punto di vista tecnico prevede il furto dei cookie dal browser<\/strong> della vittima, ma proteggere da questo tipo di attacco \u00e8 difficile e dovrebbe essere responsibilit\u00e0 di ogni utente la protezione dagli accessi diretti non autorizzati al proprio computer.<\/p>\n

Session Fixation<\/h2>\n

Questo metodo prevede l’assegnazione alla vittima di un preciso id di sessione<\/strong>, conosciuto dall’attaccante.
\nUn semplice modo per ottenere questo effetto \u00e8 quello di inviare un link alla vittima e fare in modo che questa lo apra. Il link deve contenere al suo interno l’id di sessione scelto dall’attaccante e quando la vittima effettuer\u00e0 l’accesso al sito, anche l’attaccante si ritrover\u00e0 automaticamente autenticato.<\/p>\n

In PHP \u00e8 possibile assegnare un id di sessione in un link, usando la variabile PHPSESSID<\/em> in GET.<\/p>\n

Esempio di attacco<\/h3>\n
    \n
  1. L’attaccante si collega al sito da violare ed esaminando il cookie del suo browser identifica il suo ID di sessione “ABC123”.<\/li>\n
  2. L’attaccante invia una mail alla vittima con all’interno un link del tipo “http:\/\/sito.com?PHPSESSID=ABC123”, invitando la vittima a seguire il link.<\/li>\n
  3. La vittima segue il link e il suo ID di sessione diventa automaticamente “ABC123” e si autentica sul sito.<\/li>\n
  4. A questo punto la sessione con ID “ABC123” risulta autenticata anche sul browser dell’attaccante, che ha libero accesso a tutte le informazioni riservate cui aveva accesso la vittima.<\/li>\n<\/ol>\n

    Come difendersi<\/h3>\n

    Ci sono diversi sistemi di difesa dal Session Fixation ma ognuno ha un limite o prevede alcuni requisiti:<\/p>\n