Форум PHP программистов > Особенности переменных сессии

[ Поиск ] - [ Пользователи ] - [ Календарь ]

Полная Версия: Особенности переменных сессии

major28

12.04.2011 - 17:46

Здравствуйте! Я часто использую сессионные переменные и не проверяю их на корректность например в sql запросах. Расскажите плиз какие есть ньюансы при пользовании переменных сессии? И есть еще конкретный вопрос) например у меня в скрипте я создаю переменную сессии, я правильно понимаю что переменную сессию можно создать только таким образом? Может ли злоумышленник как нибудь создать переменную сессии? Зарание спасибо!)

Спустя 11 минут, 25 секунд (12.04.2011 - 16:57) alex12060 написал(а):

Злоумышлинник может создать переменную сессии только тогда, когда скрипт это позволяет.

Проверять надо обязательно, так как туда могут попасть вредные букафки пользователей-хакеров, или даже рпостые штучки, которые могут нарушить работу скрипта.

Спустя 13 минут, 2 секунды (12.04.2011 - 17:10) major28 написал(а):

Цитата

Злоумышлинник может создать переменную сессии только тогда, когда скрипт это позволяет.

это я понимаю) хотелось бы услышать варианты когда это возможно(общий случай).

Спустя 16 минут, 1 секунда (12.04.2011 - 17:27) alex12060 написал(а):

Допустим, хакер ввел такой ник: '); DROP TABLE `users`; DROP TABLE `user`;
Но а пароль - пуст.
И ты будешь вставлять его логин в БД:


mysql_query("INSERT INTO `users` (`login`, `passw`) VALUES ('$login', '$passw')");

У тебя получается такой запрос:



INSERT INTO `users` (`login`, `passw`) VALUES ('', ''); DROP TABLE `users`; DROP TABLE `user`;

Конечно, примитивный запрос, и так далее, но вполне это SQL-Inj и он приведет к удалению таблиц.

Не факт что мой сработает, но есть хакеры покруче.

И так далее.

Спустя 5 минут, 35 секунд (12.04.2011 - 17:32) waldicom написал(а):

Цитата (alex12060 @ 12.04.2011 - 15:27)

Конечно, примитивный запрос, и так далее, но вполне это SQL-Inj и он приведет к удалению таблиц.

Да, не факт. Потому что не сработает. Да и конечный запрос будет выглядет не так.

Спустя 10 минут, 59 секунд (12.04.2011 - 17:43) major28 написал(а):

Да блин, вы меня не поняли) проверку переменных я провожу) это понятно что до записи чего то в переменную сессии нужно его проверить) я про то что казалось бы сессию может создать только код в скрипте который написал я лично и следовательно создав такую переменную ее проверять нет необходимости так как до ее создания я его проверил на корректность. Вопрос - после проверки переменной и записи ее в переменную я могу могу быть уверенным что значение сессии хакер не поменяет?)

Быстрый ответ:

Здесь расположена полная версия этой страницы.