PHP Session固定与劫持防御：Strict模式、Cookie属性配置与指纹校验 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

PHP Session 安全深度解析：防御 Session 固定与劫持

大家好，今天我们来深入探讨 PHP Session 的安全问题，重点关注 Session 固定攻击和 Session 劫持的防御。我们将从理论到实践，详细讲解如何利用 Strict 模式、Cookie 属性配置以及指纹校验等技术手段，构建更加健壮的 Session 安全体系。

一、Session 固定攻击原理与危害

Session 固定攻击是指攻击者在用户登录前，预先设置好一个 Session ID，然后诱骗用户使用该 Session ID 登录。用户登录后，该 Session ID 对应的信息被绑定到用户的账户上，攻击者就可以利用该 Session ID 冒充用户身份。

攻击流程：

攻击者生成一个有效的 Session ID，例如通过 PHP 的 session_id() 函数生成。
攻击者将该 Session ID 通过某种方式传递给受害者，例如通过 URL 参数、Cookie 等。
受害者使用该 Session ID 登录网站。
服务器将该 Session ID 对应的 Session 数据与受害者的账户关联。
攻击者使用该 Session ID 访问网站，冒充受害者。

危害：

账户被盗用，导致敏感信息泄露、资金损失等。
恶意操作，例如发布虚假信息、篡改数据等。
破坏网站信誉。

二、防御 Session 固定攻击：Strict 模式

PHP 7.1 版本引入了 session.use_strict_mode 配置项，用于开启 Session 的 Strict 模式。开启 Strict 模式后，PHP 只会使用服务器生成的 Session ID，拒绝使用客户端提供的 Session ID。

开启 Strict 模式：

可以通过修改 php.ini 文件或者在代码中使用 ini_set() 函数来开启 Strict 模式。

1. 修改 php.ini：

session.use_strict_mode = 1

2. 使用 ini_set()：

<?php
ini_set('session.use_strict_mode', 1);
session_start();
?>

Strict 模式的工作原理：

当 session.use_strict_mode 设置为 1 时，session_start() 函数会检查客户端提供的 Session ID 是否有效。如果 Session ID 无效（例如不存在、格式错误等），session_start() 函数会重新生成一个新的 Session ID，并将其存储到客户端的 Cookie 中。

代码示例：

<?php
ini_set('session.use_strict_mode', 1);
session_start();

// 检查 Session ID 是否被重新生成
if (session_status() == PHP_SESSION_ACTIVE && !isset($_SESSION['regenerated'])) {
    $_SESSION['regenerated'] = true; // 标记为已重新生成
}

// 其他业务逻辑
$_SESSION['username'] = 'example_user';

echo "Session ID: " . session_id() . "<br>";

// 检查是否开启了 strict mode
echo "session.use_strict_mode: " . ini_get('session.use_strict_mode') . "<br>";

?>

说明：

ini_set('session.use_strict_mode', 1); 开启 Strict 模式。
session_start(); 启动 Session。
代码检查 $_SESSION['regenerated'] 变量是否存在，如果不存在，则表示 Session ID 是新生成的。

Strict 模式的优势：

有效防御 Session 固定攻击。
简单易用，只需修改配置或在代码中添加一行代码。

Strict 模式的局限性：

需要 PHP 7.1 或更高版本。
无法防御 Session 劫持攻击。

三、防御 Session 劫持：Cookie 属性配置

Session 劫持是指攻击者通过某种手段获取到用户的 Session ID，然后使用该 Session ID 冒充用户身份。常见的 Session 劫持方式包括：

XSS 攻击： 攻击者通过 XSS 漏洞获取用户的 Cookie，包括 Session ID。
中间人攻击： 攻击者截获用户与服务器之间的通信，获取 Session ID。
恶意软件： 攻击者通过恶意软件窃取用户的 Cookie。

为了防御 Session 劫持，我们可以通过配置 Cookie 属性来增强 Session ID 的安全性。

1. session.cookie_httponly：

设置 session.cookie_httponly 为 1，可以防止客户端脚本（例如 JavaScript）访问 Session Cookie。这可以有效防御 XSS 攻击。

配置方式：

php.ini：

session.cookie_httponly = 1

ini_set()：

<?php
ini_set('session.cookie_httponly', 1);
session_start();
?>

2. session.cookie_secure：

设置 session.cookie_secure 为 1，可以强制浏览器只在使用 HTTPS 连接时才发送 Session Cookie。这可以有效防御中间人攻击。

配置方式：

php.ini：

session.cookie_secure = 1

ini_set()：

<?php
ini_set('session.cookie_secure', 1);
session_start();
?>

注意： 在非 HTTPS 环境下，不要设置 session.cookie_secure 为 1，否则浏览器将不会发送 Session Cookie，导致 Session 失效。应该根据当前环境动态设置。

3. session.cookie_samesite：

设置 session.cookie_samesite 可以防止 CSRF 攻击。该属性有三个可选值：

Lax： Cookie 会在同站点请求和部分跨站请求中发送，例如点击链接。
Strict： Cookie 只会在同站点请求中发送。
None： Cookie 会在所有请求中发送，但必须同时设置 Secure 属性为 true。

配置方式：

php.ini (PHP 7.3+)：

session.cookie_samesite = "Strict"

ini_set() (PHP 7.3+)：

<?php
ini_set('session.cookie_samesite', 'Strict');
session_start();
?>

代码示例：

<?php
// 动态设置 secure 属性
$secure = isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on';

ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', $secure); // 根据 HTTPS 环境动态设置
ini_set('session.cookie_samesite', 'Strict');

session_start();

echo "Session ID: " . session_id() . "<br>";
echo "session.cookie_httponly: " . ini_get('session.cookie_httponly') . "<br>";
echo "session.cookie_secure: " . ini_get('session.cookie_secure') . "<br>";
echo "session.cookie_samesite: " . ini_get('session.cookie_samesite') . "<br>";
?>

总结 Cookie 属性配置：

属性	功能	推荐值	适用场景
`session.cookie_httponly`	防止客户端脚本访问 Session Cookie，防御 XSS 攻击。	`1`	所有场景
`session.cookie_secure`	强制浏览器只在使用 HTTPS 连接时才发送 Session Cookie，防御中间人攻击。	`1` (HTTPS)	HTTPS 环境
`session.cookie_samesite`	防止 CSRF 攻击，限制 Cookie 的发送范围。	`Strict`	对安全性要求较高的场景

四、防御 Session 劫持：指纹校验

指纹校验是指在 Session 中存储一些与用户环境相关的信息，例如 IP 地址、User-Agent 等。每次请求时，验证这些信息是否与 Session 中存储的信息一致。如果信息不一致，则认为 Session 可能被劫持，可以采取相应的措施，例如销毁 Session、强制用户重新登录等。

实现指纹校验的步骤：

收集用户环境信息： 在用户登录时，收集用户的 IP 地址、User-Agent 等信息。
存储指纹信息： 将收集到的信息存储到 Session 中。
验证指纹信息： 每次请求时，比较当前用户的环境信息与 Session 中存储的信息是否一致。
处理指纹不一致的情况： 如果信息不一致，则认为 Session 可能被劫持，采取相应的措施。

代码示例：

<?php

session_start();

function get_user_fingerprint() {
  $ip = $_SERVER['REMOTE_ADDR'];
  $userAgent = $_SERVER['HTTP_USER_AGENT'];
  return md5($ip . $userAgent); // 或者使用更复杂的算法
}

// 登录时
if (isset($_POST['login'])) {
    // 验证用户名密码等...

    $_SESSION['user_id'] = 123; // 假设用户ID
    $_SESSION['fingerprint'] = get_user_fingerprint();
    $_SESSION['login_time'] = time(); // 记录登录时间
    header('Location: index.php');
    exit;
}

// 每次请求时
if (isset($_SESSION['user_id'])) {
    $currentFingerprint = get_user_fingerprint();
    $storedFingerprint = $_SESSION['fingerprint'];

    if ($currentFingerprint !== $storedFingerprint) {
        // 指纹不匹配，可能被劫持
        session_destroy();
        echo "Session hijacked!";
        exit;
    }
    // 检查 Session 是否过期 (例如 30 分钟)
    $loginTime = $_SESSION['login_time'];
    $currentTime = time();
    $sessionLifetime = 1800; // 30 分钟

    if ($currentTime - $loginTime > $sessionLifetime) {
        session_destroy();
        echo "Session expired!";
        exit;
    }

    // 更新登录时间
    $_SESSION['login_time'] = time();

    echo "Welcome, user " . $_SESSION['user_id'] . "<br>";
} else {
    // 未登录，显示登录表单
    echo '<form method="post"><button name="login">Login</button></form>';
}
?>

说明：

get_user_fingerprint() 函数用于生成用户指纹信息。
在用户登录时，将用户指纹信息存储到 $_SESSION['fingerprint'] 中。
每次请求时，比较当前用户的指纹信息与 $_SESSION['fingerprint'] 中的信息是否一致。
如果信息不一致，则销毁 Session 并提示用户重新登录。
还增加了 Session 过期时间检查，防止 Session 长时间有效。

指纹校验的优势：

可以有效检测 Session 劫持攻击。

指纹校验的局限性：

用户 IP 地址可能会发生变化，例如用户使用移动网络或者更换网络环境。
用户 User-Agent 可能会发生变化，例如用户升级浏览器或者更换设备。
过于严格的指纹校验可能会导致误判，影响用户体验。

改进指纹校验：

允许 IP 地址的小范围变化： 例如只比较 IP 地址的前三个段。
只比较 User-Agent 的主要信息： 例如只比较浏览器名称和版本号。
记录多个指纹信息： 例如记录用户最近使用的几个 IP 地址和 User-Agent。

五、Session ID 自动再生

为了进一步增强 Session 的安全性，可以定期或者在关键操作后自动再生 Session ID。这样可以防止攻击者长期使用同一个 Session ID 进行攻击。

实现 Session ID 自动再生的方法：

定期再生： 例如每隔一段时间（例如 30 分钟）自动再生 Session ID。
关键操作后再生： 例如用户登录、修改密码、支付等操作后自动再生 Session ID。

代码示例：

<?php

session_start();

function regenerate_session_id() {
    session_regenerate_id(true); // true 表示删除旧的 Session 文件
}

// 定期再生 Session ID (例如每 30 分钟)
$sessionLifetime = 1800; // 30 分钟
if (isset($_SESSION['last_regenerate']) && (time() - $_SESSION['last_regenerate'] > $sessionLifetime)) {
    regenerate_session_id();
    $_SESSION['last_regenerate'] = time();
} else if (!isset($_SESSION['last_regenerate'])) {
    $_SESSION['last_regenerate'] = time();
}

// 关键操作后再生 Session ID (例如用户登录)
if (isset($_POST['login'])) {
    // 验证用户名密码等...
    $_SESSION['user_id'] = 123; // 假设用户ID
    regenerate_session_id();
    $_SESSION['login_time'] = time();
    header('Location: index.php');
    exit;
}

// 其他业务逻辑
echo "Session ID: " . session_id() . "<br>";

?>

说明：

session_regenerate_id(true) 函数用于再生 Session ID。true 参数表示删除旧的 Session 文件。
代码实现了定期再生 Session ID 和关键操作后再生 Session ID 两种方式。

六、综合防御策略

为了最大程度地提高 Session 的安全性，我们需要综合使用以上各种防御手段。

推荐的防御策略：

开启 Strict 模式： session.use_strict_mode = 1
配置 Cookie 属性：
- session.cookie_httponly = 1
- session.cookie_secure = 1 (HTTPS 环境)
- session.cookie_samesite = "Strict"
实施指纹校验： 收集 IP 地址、User-Agent 等信息，并进行验证。
自动再生 Session ID： 定期或者在关键操作后自动再生 Session ID。
限制 Session 生命周期： 设置 Session 的过期时间，防止 Session 长时间有效。
使用 HTTPS： 强制使用 HTTPS 连接，保护 Session ID 在传输过程中的安全。
防范 XSS 攻击： 对用户输入进行严格的验证和过滤，防止 XSS 攻击。

七、代码示例：安全 Session 管理类

以下是一个简单的 PHP Session 管理类的示例，它集成了 Strict 模式、Cookie 属性配置、指纹校验和 Session ID 自动再生等功能。

<?php

class SecureSession {

    private $fingerprintData = ['ip', 'userAgent'];
    private $sessionLifetime = 1800; // 30 minutes

    public function __construct(array $options = []) {
        // Configure Strict Mode
        ini_set('session.use_strict_mode', 1);

        // Configure Cookie Attributes
        ini_set('session.cookie_httponly', 1);
        ini_set('session.cookie_secure', isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on');
        ini_set('session.cookie_samesite', 'Strict');

        // Configure Session Lifetime
        $this->sessionLifetime = isset($options['lifetime']) ? $options['lifetime'] : $this->sessionLifetime;

        session_start();

        $this->validateSession();
    }

    private function getFingerprint() {
        $data = [];
        foreach ($this->fingerprintData as $key) {
            switch ($key) {
                case 'ip':
                    $data[] = $_SERVER['REMOTE_ADDR'];
                    break;
                case 'userAgent':
                    $data[] = $_SERVER['HTTP_USER_AGENT'];
                    break;
            }
        }

        return md5(implode('|', $data));
    }

    private function regenerateId() {
        session_regenerate_id(true);
    }

    private function validateSession() {
        // Check for Session Hijacking
        if (isset($_SESSION['fingerprint']) && $_SESSION['fingerprint'] !== $this->getFingerprint()) {
            $this->destroySession();
            die('Session Hijacked!');
        }

        // Check for Session Expiry
        if (isset($_SESSION['last_activity']) && (time() - $_SESSION['last_activity'] > $this->sessionLifetime)) {
            $this->destroySession();
            die('Session Expired!');
        }

        // Regenerate session ID periodically
        if (!isset($_SESSION['last_regenerate']) || (time() - $_SESSION['last_regenerate'] > $this->sessionLifetime / 2)) {
            $this->regenerateId();
            $_SESSION['last_regenerate'] = time();
        }

        // Store Current Fingerprint and Update Last Activity
        $_SESSION['fingerprint'] = $this->getFingerprint();
        $_SESSION['last_activity'] = time();

    }

    public function set($key, $value) {
        $_SESSION[$key] = $value;
    }

    public function get($key, $default = null) {
        return isset($_SESSION[$key]) ? $_SESSION[$key] : $default;
    }

    public function destroySession() {
        session_unset();
        session_destroy();
    }

    public function isLoggedIn() {
        return isset($_SESSION['user_id']);
    }
}

// 使用示例:

$session = new SecureSession(['lifetime' => 3600]); // Session lifetime of 1 hour
if (isset($_POST['login'])) {
    // Simulating user login
    $session->set('user_id', 123);
    header('Location: index.php');
    exit;
}

if ($session->isLoggedIn()) {
    echo "Welcome, User ID: " . $session->get('user_id') . "<br>";
    echo '<a href="logout.php">Logout</a>';

} else {
    echo '<form method="post"><button name="login">Login</button></form>';
}
?>

logout.php

<?php
require_once 'session.php';

$session = new SecureSession();
$session->destroySession();

header('Location: index.php');
exit;

?>

这个例子展示了一个 SecureSession 类，它封装了会话管理的常见操作和安全措施。

八、总结 Session 安全的关键点

Strict 模式： 强制使用服务器生成的 Session ID。
Cookie 属性： 配置 httponly、secure 和 samesite 属性，增强 Cookie 的安全性。
指纹校验： 验证用户环境信息，检测 Session 劫持。
Session ID 再生： 定期或在关键操作后自动再生 Session ID。
HTTPS： 强制使用 HTTPS 连接。
输入验证： 防范 XSS 攻击。

通过综合使用这些技术手段，我们可以构建更加安全可靠的 PHP Session 安全体系，有效防御 Session 固定攻击和 Session 劫持。

PHP Session 安全深度解析：防御 Session 固定与劫持

一、Session 固定攻击原理与危害

二、防御 Session 固定攻击：Strict 模式

三、防御 Session 劫持：Cookie 属性配置

四、防御 Session 劫持：指纹校验

五、Session ID 自动再生

六、综合防御策略

七、代码示例：安全 Session 管理类

八、总结 Session 安全的关键点

发表回复 取消回复

发表回复取消回复