Идея по защите от XSS атак

Luca · 2010-07-04 12:38:45

Наткнулся на хорошую идею помогающую защитить админов от кражи кукисов
Вот ссылка на форум http://fluxbb.org.ru/forum/viewtopic.php?id=1974
Кто что думает - полезная функция?

Wolverine · 2010-07-04 13:33:19

Идее сто лет уже От кражи кукисов она не защищает, а делает невозможным использовать спижженую куку с другим ip.

Реализовать можно в виде хака для модуля авторизации, буквально пару строк. В функции check_auth() после выполнения запроса $mysql->record($query)проверить равен ли $row['ip'] == checkIP() (это стандартная функция движка, возвращающая IP) и если нет, то послать подальше
П.С. А как у вас куки тырят вообще?

Wolverine · 2010-07-04 13:40:55

Естественно еще надо проверить кука ли это админа, чтобы не привязывать эту проверку всем подряд, то есть $row['status'] должен быть 1.

Luca · 2010-07-04 16:50:35

Wolverine,
Пока никто не тырит, но я в общем рассуждаю про безопасность.

vitaly · 2010-07-04 17:34:28

В SVN выложена обновлённая версия плагина auth_basic, в нём добавлена возможность включения привязки сессии к IP адресу - при её включении при каждой смене IP адреса нужно будет заново авторизоваться. Собственно, это на 95% защищает от кражи cookie.

Wolverine · 2010-07-04 20:15:32

vitaly, мне кажется не очень гибко задавать эту настройку в плагине авторизации. Админ включит для своей защиты, а остальным будет не сильно удобно. Лучше сделать галочку в настройках профиля ИМХО.
P.S. А вообще хотелось бы иметь возможность при логине с другого браузера сохранять авторизацию и в первом браузере. Как на том же Флаксе, я залогинен на телефоне, на компе и на ноуте. Не знаю только про реализацию.. Несколько кук?

Amarelius · 2010-07-04 20:36:40

Wolverine пишет:

...Несколько кук?

Именно так

Next Generation CMS :: Форум поддержки

Объявление

#1 2010-07-04 12:38:45

Идея по защите от XSS атак

#2 2010-07-04 13:33:19

Re: Идея по защите от XSS атак

#3 2010-07-04 13:40:55

Re: Идея по защите от XSS атак

#4 2010-07-04 16:50:35

Re: Идея по защите от XSS атак

#5 2010-07-04 17:34:28

Re: Идея по защите от XSS атак

#6 2010-07-04 20:15:32

Re: Идея по защите от XSS атак

#7 2010-07-04 20:36:40

Re: Идея по защите от XSS атак

Подвал форума