sesion fixation

[Blashak]

Buenas,

He visto un ejemplo para evitar uno de los metodos que hay en robo de sesiones (session fixation)

Código PHP:

<?php
$_SESSION['logged_in'] = FALSE;
if (check_login())
{
session_regenerate_id();
$_SESSION['logged_in'] = TRUE;
}
?>
 

por lo que entendí esto genera un nuevo id de sesion cada vez que un usuario se hace un login.

pero la marca $_SESSION['logged_in'] = TRUE; no es necesaria, no??
El codigo podria quedar de esta menera

Código PHP:

<?php
if (check_login())
{
session_regenerate_id();
}
?>
 

si no es correcto explicarme el porqué no.

Un saludo

[maycolalvarez]

en realidad no basta solo con regenerar el id de sesión, lo recomendable también es cambiar o eliminar la cookie al cerrar la sesión

he aquí una buena discusión del tema: http://stackoverflow.com/questions/5...tion-hijacking

[Blashak]

Iniciado por maycolalvarez

en realidad no basta solo con regenerar el id de sesión, lo recomendable también es cambiar o eliminar la cookie al cerrar la sesión

he aquí una buena discusión del tema: http://stackoverflow.com/questions/5...tion-hijacking

Gracias por el aporte me sera de utilidad pero, sigo teniendo la misma duda que hice mas arriba.
No entiendo la necesidad de agregar esto ($_SESSION['logged_in'] = FALSE;):

Código PHP:

<?php
$_SESSION['logged_in'] = FALSE;
if (check_login())
{
session_regenerate_id();
$_SESSION['logged_in'] = TRUE;
}
?>
 

El siguiente código hace lo mismo sin la linea esa.

Código PHP:

<?php
if (check_login())
{
session_regenerate_id();
}
?>
 

[webankenovi]

Haber si $_SESSION['logged_in']= false y la function check_login() no es true , $_SESSION['logged_in'] seguira siendo falso , mientras que si la funcion check_login is true regenera el id y $_SESSION['logged_in'] sera true

ahora habria que saber que hace la funcion check_login tambien , para saber si $_SESSION['logged_in'] sirve de algo o no , como tu preguntas

[Blashak]

Iniciado por webankenovi

Haber si $_SESSION['logged_in']= false y la function check_login() no es true , $_SESSION['logged_in'] seguira siendo falso , mientras que si la funcion check_login is true regenera el id y $_SESSION['logged_in'] sera true

ahora habria que saber que hace la funcion check_login tambien , para saber si $_SESSION['logged_in'] sirve de algo o no , como tu preguntas

check_login() devuelve true si el usu y pass existe en la bd por eso, digo que $_SESSION['logged_in'] = FALSE; no sirve para nada.

[webankenovi]

Y como compruebas que esta en la bd ? con solo este codigo que parametros pasas?? por el session_id?

Código PHP:

<?php
    $_SESSION['logged_in'] = FALSE;
    if (check_login())
    {
    session_regenerate_id();
    $_SESSION['logged_in'] = TRUE;
    }
    ?>
 

[Blashak]

es un ejemplo que agarre del libro php security.
copio tal cual estaba

This does eliminate the opportunity for an attacker to assign a simple session identifier such as 1234,
but the attacker can still examine the cookie or URL (depending upon the method of propagation) to
get the session identifier assigned by PHP. This approach is illustrated in Figure 4-4.
To address this weakness, it helps to understand the scope of the problem. Session fixation is merely
a stepping-stonethe purpose of the attack is to get a session identifier that can be used to hijack a
session. This is most useful when the session being hijacked has a higher level of privilege than the
attacker can obtain through legitimate means. This level of privilege can be as simple as being
logged in.
If the session identifier is regenerated every time there is a change in the level of privilege, the risk
of session fixation is practically eliminated:

Código PHP:

<?php
$_SESSION['logged_in'] = FALSE;
if (check_login())
{
session_regenerate_id();
$_SESSION['logged_in'] = TRUE;
}
?>
 

[webankenovi]

Bueno supongo que seria un ejemplo , a simple vista no se sabe para que se usaria $_SESSION['logged_in'] pero un ejemplo podria ser este:

Código HTML:

<?php
$_SESSION['logged_in'] = FALSE;
if (check_login())
{
session_regenerate_id();
$_SESSION['logged_in'] = TRUE;
}
 
if(isset($_SESSION['logged_in']) and !empty($_SESSION['logged_in']))
{
    echo 'autenticado';
}
?>
 

osea que no tienes por que usar $_SESSION['logged_in'] eso dependera de tu sistema tan solo centrate en regenerar el id cada carga de pagina y no propagar por la url el id

[Blashak]

vale, gracias.