PHP में सत्र आईडी सुरक्षा

वेबसाइट सुरक्षा सत्र प्रबंधन पर आधारित है। जब कोई उपयोगकर्ता किसी सुरक्षित साइट से जुड़ता है, तो वह क्रेडेंशियल्स प्रदान करता है, आमतौर पर उपयोगकर्ता नाम और पासवर्ड के रूप में। वेब सर्वर को इस बात का कोई अंदाजा नहीं है कि कौन सा उपयोगकर्ता पहले से लॉग इन है और कैसे वह पेज से पेज पर नेविगेट करता है। सत्र तंत्र उपयोगकर्ताओं को हर बार एक पासवर्ड दर्ज करने की अनुमति नहीं देता है जब वे एक नई क्रिया करना चाहते हैं या एक नए पृष्ठ पर जाते हैं।

संक्षेप में, सत्र प्रबंधन यह सुनिश्चित करता है कि लॉग इन करने वाला उपयोगकर्ता वर्तमान में जुड़ा हुआ है। लेकिन, दुर्भाग्य से, सत्र हैकर्स के लिए एक स्पष्ट लक्ष्य बन गए हैं, क्योंकि वे प्रमाणीकरण की आवश्यकता के बिना वेब सर्वर तक पहुंच की अनुमति दे सकते हैं।

उपयोगकर्ता प्रमाणीकरण के बाद, वेब सर्वर उसे एक सत्र पहचानकर्ता प्रदान करता है। यह पहचानकर्ता ब्राउज़र में संग्रहीत होता है और जब भी प्रमाणीकरण की आवश्यकता होती है, तब इसे प्रतिस्थापित कर दिया जाता है। यह बार-बार लॉगिन / पासवर्ड प्रविष्टि प्रक्रियाओं से बचा जाता है। यह सब पृष्ठभूमि में होता है और उपयोगकर्ता को कोई असुविधा नहीं देता है। कल्पना कीजिए कि यदि आपने हर बार एक नए पृष्ठ पर एक उपयोगकर्ता नाम और पासवर्ड दर्ज किया है!

इस लेख में मैं PHP में सत्र पहचानकर्ता की रक्षा के लिए सभी तरीकों की व्याख्या करने की कोशिश करूंगा जो मुझे पता है।

तो चलिए चलते हैं।

कुकी का उपयोग

डिफ़ॉल्ट रूप से, आईडी सहित सभी सत्र की जानकारी एक कुकी में प्रेषित की जाती है। लेकिन हमेशा ऐसा नहीं होता है। कुछ उपयोगकर्ता अपने ब्राउज़र में कुकीज़ को निष्क्रिय कर देते हैं। इस स्थिति में, ब्राउज़र URL में सत्र पहचानकर्ता को पास करेगा।

www.example.org/index.php?PHPSESSID=n2cnj59d7s3p30fjs0jfn28nf

इधर, HTTP हेडर में जानकारी छिपी होने पर कुकी के माध्यम से सत्र के विपरीत, स्पष्ट पाठ में आईडी प्रसारित की जाती है। इससे बचाव का सबसे आसान तरीका यह होगा कि एड्रेस बार के माध्यम से सत्र पहचानकर्ता के स्थानांतरण पर प्रतिबंध लगा दिया जाए। आप अपाचे सर्वर में निम्नलिखित लिखकर कर सकते हैं .htaccess विन्यास फाइल:

php_flag session.use_only_cookies on

एन्क्रिप्शन का उपयोग करना

अगर आपकी साइट पर क्रेडिट कार्ड नंबर (सोनी से अभिवादन) जैसी गोपनीय जानकारी संसाधित की जानी चाहिए, तो SSL3.0 या TSL1.0 एन्क्रिप्शन का उपयोग किया जाना चाहिए। ऐसा करने के लिए, कुकी सेट करते समय, सुरक्षित पैरामीटर के लिए सही निर्दिष्ट करें।

यदि आप $ _SESSION चर में सत्र पासवर्ड संग्रहीत करते हैं (यह अभी भी sql का उपयोग करना बेहतर है), तो आपको इसे स्पष्ट में संग्रहीत नहीं करना चाहिए।

 if ($_SESSION['password'] == $userpass) { //  } 

उपरोक्त कोड सुरक्षित नहीं है, क्योंकि पासवर्ड को सत्र चर में सादे पाठ में संग्रहीत किया जाता है। इसके बजाय md5 एन्क्रिप्शन का उपयोग करें, कुछ इस तरह से:

 if ($_SESSION['md5password'] == md5($userpass)) { //  } 

ब्राउज़र की जाँच

किसी अन्य ब्राउज़र (कंप्यूटर) से सत्र का उपयोग करने की संभावना को काटने के लिए, आपको उपयोगकर्ता-एजेंट HTTP हेडर फ़ील्ड की जांच दर्ज करनी चाहिए:

 session_start(); if (isset($_SESSION['HTTP_USER_AGENT'])) { if ($_SESSION['HTTP_USER_AGENT'] != md5($_SERVER['HTTP_USER_AGENT'])) { //  } } else { $_SESSION['HTTP_USER_AGENT'] = md5($_SERVER['HTTP_USER_AGENT']); } 

सत्र की अवधि

सत्र जीवनकाल के साथ-साथ कुकी की अवधि। डिफ़ॉल्ट सत्र समाप्ति समय 1440 सेकंड है। आप इस मान को php.ini और .htaccess के माध्यम से बदल सकते हैं। .Htaccess के लिए उदाहरण:

#
php_value session.gc_maxlifetime 3600
#
php_value session.cookie_lifetime 3600


आईपी ​​बाइंडिंग

कुछ स्थितियों में (हमेशा नहीं), आपको एक आईपी पते पर बांधना चाहिए। अधिकतर जब उपयोगकर्ताओं की संख्या सीमित होती है और एक स्थिर आईपी होता है। चेक की अनुमति आईपी पते की सूची से हो सकती है,

 include ("ip_list.php"); //$ip_white_list = array ( 'admin1' => '111.222.333.444', 'admin2' => '555.666.777.888'); if(!empty(array_search($_SERVER['REMOTE_ADDR'],$ip_white_list))) { header("Location: admin.php"); } else { echo 'ACCESS DENY!'; } 

या तो प्रत्येक अनुरोध के लिए आईपी पते द्वारा (केवल स्थैतिक आईपी के लिए):

 if(isset($_SESSION['ip']) and $_SESSION['ip'] == $_SERVER['REMOTE_ADDR']) { header("Location: admin.php"); } else { session_unset(); $_SESSION['ip'] = $_SERVER['REMOTE_ADDR']; } 

आपको पता होना चाहिए कि हैकिंग से पूरी तरह से बचना असंभव है। आप किसी भी ज्ञात साधन द्वारा केवल इस हैकिंग को जटिल बना सकते हैं। हालांकि, किसी को भी अपने कानूनी उपयोगकर्ताओं के बारे में नहीं भूलना चाहिए, ताकि इस तरह के संरक्षण के साथ अपने जीवन को जटिल न करें।