1

Possuo um site que está totalmente funcional e o índice de falhas é de 0.0037%, entretanto todos o erros são os mesmos.

Unknown: Failed to write session data (files). Please verify that the current setting of session.save_path is correct (/tmp)

Eu procurei por algumas informações em PHP session handling error e também em Failed to write session data (files). Porém ambas as soluções não solucionaram o problemas, além disso as perguntas aparentemente se referiam à um problema persistente, quero dizer um problema que era apresentado a todo o momento.

No meu caso este problema ocorre durante curto espaço de tempo, durante em média dois minutos e não afeta todos os usuários, até porque são poucos dados nos logs. Nas últimas 24 horas isso ocorreu apenas entre as 17:52 até as 17:54, depois disso não houve nenhum erro do mesmo tipo e tudo continua funcionando normalmente. Por ser um espaço pequeno de tempo não consigo testar o site justamente nesse momento ou fazer outras verificações.

Queria saber o que pode está causando este problema.

Existe algum limite de arquivos por pasta ou alguma limitação na criação de novas sessões, que então bloqueie a escrita? Existe algum processo do PHP (ou até mesmo do próprio CentOS) que altere a permissão das pastas ou que possa está bloqueando a escrita?

Eu ainda não tentei alterar a pasta onde é salvo as sessões, mas irei fazer isto em breve.

1 Resposta 1

5

Descobri o problema, que era uma das coisas que suspeitava mas achava que não era o problema.

Eu uso alguns softwares de teste de vulnerabilidades, embora eles não acusem erros eu comecei a achar que tais erros estavam relacionados à tais testes, porque os erros eram apresentados em "grande quantidade" após 2~3 horas dos testes serem iniciados, os testes são feitos em horários aleatórios!

O problema que descobri é relacionado à uso de caracteres "inválidos" como valor do cookie da SESSION, isso causa o problema de leitura da SESSION.

Testando o problema:

Se o cookie da sessão (por padrão tem nome de PHPSESSID) tiver com um valor do tipo !@#$!%!@#$@#!!!#!#!@#% ele será acusar o problema:

Unknown: Failed to write session data (files). Please verify that the current setting of session.save_path is correct (/tmp)

Para alterar o valor do cookie você pode usar a extensão de EditThisCookie.

Se quiser, pode usar o Javascript para alterar o cookie:

var nome = "PHPSESSID";
var valor = "!$!@$!@@#!@#!@#";

document.cookie = nome+"="+valor;

Correção:

Para causar o problema exige que algum curioso (sendo otimista) tenha alterado o valor do cookie usado para definir a sessão.

A correção que pensei foi a seguinte:

$sessao = "PHPSESSID";

if(isset($_COOKIE[$sessao]) && !preg_match('/^[A-Za-z0-9,-]+$/', $_COOKIE[$sessao])){
     unset($_COOKIE[$sessao]);
}

session_start();

Isso seria uma solução genérica, não ideal.

Primeiro é saber exatamente quais caracteres seriam válidos, isso depende somente disto:

session.hash_bits_per_character = 5

Se for 4 irá ser de [a-f0-9].
Se for 5 irá ser de [a-v0-9].
Se for 6 irá ser de [A-Za-z0-9,-].

Leia a documentação em http://php.net/manual/en/session.configuration.php#ini.session.sid-bits-per-character

Segundo é o número de caracteres válidos, o PHP por padrão gera sessões de 26 caracteres, isso depende da COMBINAÇÃO dos seguintes valores:

session.hash_function = md5
session.hash_bits_per_character = 5 

Essa combinação irá resultar na maior ou menor valor da sessão, logo precisará testar para alterar o número de caracteres do REGEX baseado no número de caracteres.

Leia a resposta em https://stackoverflow.com/a/17032075/3043018

No meu caso estou usando EXATAMENTE isto:

if(isset($_COOKIE['_sid']) && !preg_match('/^[a-v0-9]{52}$/', $_COOKIE['_sid'])){
     unset($_COOKIE['_sid']);
}

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .