站长论坛

标题: cookie防止仿造安全总结 [打印本页]

作者: superadmin 时间: 2008-1-8 17:34
标题: cookie防止仿造安全总结
以前我们刚写PHP的时候，做后台，需要管理员身份认证。一般用COOKIE这么做的，特别是刚接触PHP的PHP爱好者：
admin/login.php

if(用户名&&密码正确) {
   setcookie('admin',1,time()+36400);
   echo '登录成功';
}

if($_COOKIE[admin] == 1) {
echo '有权限';
}

但是这样会造成很大的安全隐患，很多浏览器可以直接修改COOKIE，或者直接在系统里修改。

只要伪造cookie，那么管理权限就拿到了

为了安全，这么做：

if(用户名&&密码正确) {
   setcookie('userid',用户在系统中的ID,time()+36400);
   setcookie('userpass',用户在系统中的32位md5密码,time()+36400);
   echo '登录成功';
}

判断权限的时候这么做：

if($_COOKIE[userid]) {
$query = mysql_query(select * user table where userid = '$_COOKIE[userid]' and userpass = '$_COOKIE[userpass]');
$row = mysql_fetch_array($query);
if($row[rank] <> 1) {
echo '没有权限';
}
}

这样伪造cookie就没有任何作用了

现在我一般都这么做，如果这个方法有什么不对的还请指出。

作者: superadmin 时间: 2008-1-8 17:35
这个方法每次都需要查询数据库。有一个方法可以不用查询数据库。

就是在生成cookie的时候加一个安全码，这个安全码是根据userid、username等信息做的一个信息摘要，在进行验证的时候，只要把保存在cookie里的userid和username等信息用进行一次摘要运算，然后和安全码比较，如果相同，就认为是登录成功。

当然，你可以把ip地址、日期、浏览器的user agent等信息也一起进行摘要运算，提高安全性。只要摘要算法不泄露，就可以保证安全。

作者: superadmin 时间: 2008-1-8 17:35
你提到的加密处理只是最基本的安全防护，对于cookie窃取之类就不起作用了。

你可以考虑使用私有密钥加密解密，密钥中加入浏览器特性可能会更加安全

作者: superadmin 时间: 2008-1-8 17:35
你的方法, 有安全问题, 只要把你的这两个COOKIES数据搞到, 跟前面的情况就没差别了.
这些重要的数据都好是保存在服务器上, 不要相信你的用户(就算是你自己, 也可能中木马了)
像会话的东西, 可以使用SESSION

作者: superadmin 时间: 2008-1-8 17:35
明文总的还是不安全，dz的方式应该是最好的用可逆加密

欢迎光临站长论坛 (http://www.tzlink.com/bbs/)