Réponses du test de la semaine 26

• Deviner
• Enregistrer
• Choisir
l'identifiant de session de sa victime.

Le mécanisme par défaut de gestion de session en PHP fait qu'un attaquant aura beaucoup de mal à prédire l'identifiant de session d'un utilisateur.

Comment un attaquant pourrait il enregistrer un identifiant ?
En PHP un identifiant de session peut être propagé automatiquement soit en paramètre GET dans les URL appelées, soit dans un cookie.

Par défaut on préfère utiliser un cookie, en effet des paramètre GET pourrait par exemple être découvert dans un referrer http.

Même si les cookies sont un mécanisme plus sûr qu'un paramètre GET, ils ne mettent pas l'utilisateur à l'abri.
En effet, une faille XSS dans un site peut permettre de facilement récupérer un cookie.

Il existe enfin une autre méthode pour un attaquant. Plutôt que de chercher une faille pour récupérer l'identifiant en cours, il est plus simple de choisir soi même l'identifiant de session de sa future victime. On parle de session fixation.

Si une victime clique sur un lien ou poste un formulaire qui contient un identifiant de session controllé par l'attaquant, alors ce dernier connaitra l'identifiant de session en avance. En effet en PHP, si un identifiant qui ne correspond à aucune session démarrée par le système est envoyé, alors PHP a créer une nouvelle session avec cet identifiant. Dans d'autre langage ce n'est pas le cas, il est donc important de connaître ce fonctionnement de PHP.

Pour toutes ces raisons, la fonction session_regenerate_id permet de limiter les conséquences.

Tout d'abord, si une session n'a pas été démarrée par le système alor son utilisera session_regenerate_id afin de renouveler l'identifiant.Par exemple :

Code :
session_start();
if(!isset($_SESSION['fixation'])) {
  session_regenerate_id();
  $_SESSION['fixation']=time();
}

On protège efficacement l'utilisateur contre les fixations de session. Attention cependant, suivant votre système d'authentification et d'authorisation, un attaquant pourrait venir générer un identifiant en avance sur votre site avant de l'envoyer à une future victime.

C'est pourquoi dans tous les cas il est conseillé dans votre système d'authorisation de revalider les informations d'authentification de l'utilisateur, et à cette occasion de renouveler son identifiant de session. Par exemple, avant de permettre à un utilisateur, même l'administrateur du site d'effacer la totalité de la base de données, on revalidera ses informations et on lui génèrera un nouvel identifiant grâce à la fonction session_regenerate_id.

D'une manière générale, on conseille de renouveler l'identifiant de session à tout changement de privilège de l'utilisateur authentifiée.

<?php
class Cert
{
	private $valeur = 10;

	function __construct($var=30)
	{
		$this->valeur = $var;
	}
}
$obj = new Cert(20);
echo $obj->valeur;
?>

<?php
for ($i = 0; $i < 1.02; $i += 0.17) {
	$a[$i] = $i;
}
?>

/.*\*123\d/

<?php
$a = "b";
$b = "c";
$c = "a";
echo $$$$a;
?>

<?php
$a = 1;
$a = $a-- + 1;
echo $a;
?>

<?php
$contents = __________('fichier.txt');
echo $contents[0];
?>

strpos('Certification PHP', 'i', 2);

<?php
$tab = array(1, 2, 3, 4);
foreach ($tab as $elem) {
	$tab[4] = 5;
	echo $elem;
}
?>