Skip to main content
24 eventos
quando alternar formato o que por licença comentário
S 24/06/2020 às 20:05 histórico sugerido lucasarruda CC BY-SA 4.0
removendo palavras que atrapalham entendimento sem acrescentar a questão
24/06/2020 às 13:44 análise Edições sugeridas
S 24/06/2020 às 20:05
7/11/2014 às 8:25 voto aceitação Papa Charlie
15/10/2014 às 7:50 comentário adicionado chambelix @Papacharlie é um trabalho para o qual fui contratado... Mas estou disponível se você precisar de alguma ajuda com alguma orientação com o seu codigo numa solução pois apesar da implementação a monitorização é uma constante... Pelo que temos de ter sempre os nossos conhecimentos updated... Cumprimentos
14/10/2014 às 19:43 comentário adicionado Papa Charlie @chambelix, legal. Vai disponibilizar em algum lugar?
14/10/2014 às 8:08 comentário adicionado chambelix @Papacharlie Olha...se te ajudar... Acabei de desenvolver para um sistema de identidades.. Controlo de sessão escalável em multi servidor... Conteudo persistente em base de dados e volátil em memcached. Forço o SSL mas não deixo de implementar verificacoes http_User_agent entre outros. Não dispensei um sistema de tokens, renovando o id em certos pontos do serviço. Em conclusão na unha mesmo. Cumprimentos
13/10/2014 às 20:30 comentário adicionado Papa Charlie @chambelix. Eu pretendia cuidar dos roubos de sessão justamenter tendo a base sessão sem cookie. Por isso queria saber se era possível o PHP dar essa "forçinha". Pelo visto vai ser na unha mesmo - vou garimpar todas as respostas. Mesmo assim, obrigado.
13/10/2014 às 17:59 resposta adicionado mgibsonbr linha do tempo pontuação: 11
13/10/2014 às 14:22 comentário adicionado chambelix @Papacharlie o controlo de sessões no Php vem com o identificador que o browser guarda... O processo é esse. Deixa para o lado do servidor o controlo da sessão e todas as suas variáveis. Hijacking, para mim a melhor defesa é o SSL. Lê a minha resposta no link que o bfavaretto coloca.
13/10/2014 às 11:28 histórico twitado twitter.com/#!/StackOverflowPT/status/521623421541556224
13/10/2014 às 11:17 comentário adicionado Papa Charlie Não acho que seja duplicata, minha intenção era uma forma de trabalhar com session sem cookie, sem me aprofundar em Hijacking. O roubo de sessão foi uma forma de mostrar o ID no cookie - o que gostaria de evitar.
13/10/2014 às 11:12 comentário adicionado bfavaretto Relacionadas: pt.stackoverflow.com/questions/26610/…, pt.stackoverflow.com/questions/33740/… (duplicata?)
13/10/2014 às 11:00 resposta adicionado gmsantos linha do tempo pontuação: 15
13/10/2014 às 10:50 comentário adicionado Jader A. Wagner Entenda que se você não passar o session id por cookie, será obrigado a passar pela URL... Então uma verificação em cada requisição se ainda é o mesmo cliente é obrigatória em qualquer caso...
13/10/2014 às 10:48 comentário adicionado Papa Charlie Sim, e essa é a recomendação para não usar ID como parâmetro na URL. E usar um cookie para isso pra mim é trocar 6 por meia dúzia :)
13/10/2014 às 10:46 comentário adicionado Jader A. Wagner O cookie serve apenas para ocultar o session id da URL... Alterar o cookie seria o mesmo que alterar diretamente na URL...
13/10/2014 às 10:44 comentário adicionado Papa Charlie Alterar o cookie PHPSESSID, de imediato permite acesso às sessões. Posso fazer verificações mais a fundo dentro do sistema, mas queria saber uma forma de criar as sessões sem a necessidade do cookie para gerenciar o ID.
13/10/2014 às 10:42 comentário adicionado Jader A. Wagner Certamente, mas é melhor que nada... Usando várias verificações em conjunto pode ficar bem seguro... E num contexto geral da sua pergunta me parece que você esta confundindo sequestrar a session, com sequestrar um cookie contendo login e senha, e neste caso uma nova session logada é criada...
13/10/2014 às 10:39 comentário adicionado Papa Charlie @Jader, bem interessante, $_SERVER tem algumas variáveis não confiáveis. O próprio IP não é 100%. user agent até poderia servir como um SALT.
13/10/2014 às 10:36 comentário adicionado Jader A. Wagner Você guarda do IP e o user agent na session, e compara com as variaveis $_SERVER na proxima requisição...
13/10/2014 às 10:33 comentário adicionado Papa Charlie @Jader, mas se eu guardar em cookie ele pode ser clonado, e se guardar em session pode comparar com a 'roubada'. Ou será que entendi errado?
13/10/2014 às 10:32 comentário adicionado Jorge B. +1 Muito boa pergunta.
13/10/2014 às 10:30 comentário adicionado Jader A. Wagner Já pensou em comparar o IP remoto e o user agent, e em caso de inconsistência, destruir a session?
13/10/2014 às 10:10 histórico perguntada Papa Charlie CC BY-SA 3.0