rulinux.net - Новости - Security - Предсказуемость генерации идентификаторов сессий в PHP http://rulinux.net/ rulinux.net - Новости - Security - Предсказуемость генерации идентификаторов сессий в PHP http://rulinux.net/ http://rulinux.net/rss_icon.png Re: Предсказуемость генерации идентификаторов сессий в PHP https://rulinux.net/message.php?newsid=6602&page=1#44290 https://rulinux.net/message.php?newsid=6602&page=1#44290 Mon, 05 Apr 2010 13:36:31 +0400 >Защита от подобного рода проблем в проекте Suhosin (защищенный вариант PHP) была добавлена начиная с версии 0.9.31, выпущенной 5 лет назад.
Неправда. 0.9.31 вышел 28 марта 2010 года.

]]> Re: Предсказуемость генерации идентификаторов сессий в PHP https://rulinux.net/message.php?newsid=6602&page=1#44289 https://rulinux.net/message.php?newsid=6602&page=1#44289 Mon, 05 Apr 2010 13:04:23 +0400 решето. Теперь пхп точно капец.

]]> Re: Предсказуемость генерации идентификаторов сессий в PHP https://rulinux.net/message.php?newsid=6602&page=1#44288 https://rulinux.net/message.php?newsid=6602&page=1#44288 Wed, 31 Mar 2010 14:40:53 +0400 НАМ ВСЕМ КРЫШКА!

]]> Предсказуемость генерации идентификаторов сессий в PHP https://rulinux.net/message.php?newsid=6602&page=1#44287 https://rulinux.net/message.php?newsid=6602&page=1#44287 Wed, 31 Mar 2010 13:47:30 +0400 В коде генерации номеров уникальных пользовательских сессий и уникальных идентификаторов (uniqid) PHP найдена недоработка, позволяющая злоумышленнику предсказать другие номера последовательности, зная текущий номер сессии (например, войдя на форум можно подобрать номера сессий других пользователей). Проблема вызвана некорректной инициализацией генератора случайных чисел в PHP, начальные значение затравки для которого можно предсказать с достаточно высокой степенью вероятности.

Проблеме подвержены все версии PHP, включая 5.3.2. Интересно, что при выпуске версии PHP 5.3.2 разработчики знали о существовании данной проблемы и даже изменили метод инициализации генератора случайных чисел, но то изменение по сути сводилось к добавлению предсказуемой константы, т.е. принципиально не устраняло суть проблемы, а лишь защищало от определенного эксплоита. Защита от подобного рода проблем в проекте Suhosin (защищенный вариант PHP) была добавлена начиная с версии 0.9.31, выпущенной 5 лет назад. Впервые проблема с генератором случайных чисел PHP была озвучена еще в 2001 году.

Взято с  http://www.opennet.ru


>>> Подробнее]]>