PHP Magazin 5.11 - Security Workshop "Session Hijacking/Session Fixation"

Links zum Artikel:

• [1] Carsten Eilers: HTTPS und Cookies sicher einsetzen
• [2] PHP Manual: Session
• [3] Jordi Boggiano: MOPS Submission 04 – Generating Unpredictable Session IDs and Hashes
• [4] Suhosin: Session Protection

Anleitung zum Security-Workshop

Praktische Beispiele

Diesmal gibt es kein VMware-Image, Sie können die Skripte aus dem Archive http://www.ceilers-it.de/phpmag/511.tar direkt auf Ihrem Server testen. Beide Skripte legen pro gestarteter Session eine Datei mit Endung .ses im eigenen Verzeichnis an, das dafür von PHP beschreibbar sein muss.
Wenn Sie die Verzeichnisse nach Ihren Tests löschen, sind alle Spuren (bis auf die Einträge in den Apache-Logfiles) beseitigt.

Das Image aus Heft 5.10 aktualisieren

Sie können auch das Image von der Heft-CD des PHP Magazin 5.10 aktualisieren. Die nötigen Dateien, die Sie ebenso natürlich auch auf einem eigenen lokalen Server installieren können, finden Sie auf der Heft-CD sowie unter http://www.ceilers-it.de/phpmag/511.tar. Für die Aktualisierung des Images gehen Sie folgendermaßen vor:

• Loggen Sie sich als Benutzer root mit dem Passwort root ein
• Wechseln Sie in das Verzeichnis /var/www
• Verschieben Sie die vorhandenen Verzeichnisse phpmag und phpmag-sicher sowie die Datei index.html in ein neu angelegtes Unterverzeichnis oder löschen Sie sie
• Holen Sie mit
  wget www.ceilers-it.de/phpmag/511.tar
  das Archiv mit den aktuellen Demo-Skripten
• Entpacken Sie das Archiv mit dem Befehl
  tar xf 511.tar
• Verschieben Sie den Inhalt des neue angelegten Verzeichnisses PHPMag5-11 nach /var/www:
  mv PHPMag5-11/* .

Damit ist die Installation abgeschlossen.

Die Linux-Installation

Es gibt 2 Benutzer: root mit dem Passwort root und testuser mit dem Passwort testuser. Sämtliche Einstellungen wurden unverändert übernommen, d.h.: Das System ist in keiner Weise besonders abgesichert.

Für MySQL wurden ebenfalls 2 Benutzer angelegt: root mit dem Passwort root und phpuser mit dem Passwort phpuser.

phpMyAdmin finden Sie unter /phpmyadmin.

Die IP-Adresse wurde fest auf 192.168.68.132 eingestellt.