Session Hijacking

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

PHP ontwikkelaar

Functie Met een complex en uitgebreid e-commerce platform, een eigen PIM-systeem en eigen scan applicatie – krijg jij dagelijks te zien hoe jouw werk gebruikt wordt door miljoenen gebruikers. En we staan qua development pas in de startblokken, aangezien er nog meerdere projecten op de plank liggen te wachten! Ons huidige development team bestaat uit 8 programmeurs. Er wordt dagelijks gereflecteerd op geschreven code, Scrum taken en kennisdelen onderling is een must. Onze voertaal binnen ons team is Engels, dit omdat wij twee internationale collega’s hebben. Ons huidige “IT Landschap” bestaat voornamelijk uit allerlei losse onderdelen die individueel, maar ook

Bekijk vacature »

Back-end Developer

Functie omschrijving Als Back-end Developer heb je de eer om als eerste interne developer bij deze organisatie te beginnen. Op dit moment zijn er externe developers, maar daar wil de organisatie verandering in brengen. Op termijn moet de gehele afdeling uit intern personeel bestaan. Je kan je voorstellen dat de eerste interne developer ook de nodige kennis mee moet brengen. Dat klopt. Je gaat je namelijk aan het begin bekommeren over de externe developers en uiteindelijk over je interne collega's. Verder ga je het volgende doen: Het bedenken, beheren en onderhouden van webportalen, API-koppelingen en applicaties; Je bedenkt en werkt

Bekijk vacature »

Database Developer

Functieomschrijving Heb jij ongeveer 3 jaar ervaring als Database Developer met MS SQL of een vergelijkbare database? Wil jij werken voor een ambitieuze werkgever in regio Tilburg waar jij volledig de mogelijkheid krijgt jezelf te ontwikkelen? Lees dan snel verder! Hoe ziet jouw takenpakket eruit? Je gaat projecten gedurende het hele proces begeleiden. Je sluit aan bij afspraken met klanten om hun processen helder te krijgen. Vervolgens voer jij het project uit en zorgt dat dit zo goed mogelijk verloopt; Je werkt aan nieuwe softwareoplossingen die de logistieke processen verbeteren of vernieuwen; Je houdt je bezig met het ontwikkelen van

Bekijk vacature »

C# .NET Developer

Functie omschrijving C# .NET Developer gezocht. Ben jij een full stack developer die op zoek is naar een nieuwe uitdaging binnen een leuk snel groeiend bedrijf? Lees dan snel verder! Wij zijn op zoek naar een Developer met ervaring op het gebied van .NET die een organisatie in de regio Bennekom gaat versterken. Jij gaat je binnen dit bedrijf vooral bezighouden met het verbeteren van de functionaliteiten van hun dataplatform. Samen met andere ontwikkelaars denk je mee in oplossingsrichtingen, architectuur en nieuwe technologieën. Bedrijfsprofiel De organisatie waar je voor gaat werken heeft een onafhankelijk dataplatform ontwikkelt voor de agrarische sector.

Bekijk vacature »

Front-end developer

Functie Jij komt te werken in een team van 5 developers. het product is continue in beweging. Nieuwe en bestaande klanten vragen om vaak nieuwe features. Hierin ben jij zeer belangrijk om te zorgen dat de functionaliteiten goed opgezet worden op technisch vlak. Designs krijg je aangeleverd van een externe partij zodat jij je primair kan focussen op de techniek! Je hebt daarbij alle vrijheid om je eigen creativiteit toe te passen en mee te denken over de gebruikte technieken. Het gezamenlijke doel is een product dat functioneel zeer gebruiksvriendelijk is en het bedrijfsproces van de gebruikers versneld en kwalitatief

Bekijk vacature »

Java developer Zorgsysteem

Dit ga je doen Werken aan het eigen gebouwde zorgsysteem; Verbeteringen maken en toepassen binnen de applicatie; Jij gaat werken aan de Back-end van de applicatie en sporadisch werk je mee aan de Front-end; Samenwerken met andere teams voor een optimaal resultaat; Jij kan 'clean' werken en high quality code schrijven; Jij werkt resultaatgericht. Hier ga je werken De organisatie houdt zich bezig met diverse applicaties met betrekking tot zorgregistratie. Dankzij hun systeem komt alle informatie, omtrent de zorg van een patiënt, op een overzichtelijke en toegankelijke manier samen in één systeem te staan. Op deze manier is deze informatie

Bekijk vacature »

Traineeship Java Developer

Functie Wat ga je doen als Java Developer? Jij start via ons bij deze opdrachtgever als Trainee Java ontwikkelaar, tijdens het traineeship ga je in 1 jaar van de basis naar professioneel Java ontwikkelaar. Je start samen met een groep trainees, volgt de aangeboden cursussen en gaat aan de slag bij één van onze opdrachtgevers. Na een aantal maanden volgt de volgende opdracht. Door de groei in jouw rol kom je op steeds complexere opdrachten terecht. Veel afwisseling dus. Collega’s met ervaring helpen je bij deze groei en samen met jouw coach ga je een persoonlijke leerplan opzetten om jou

Bekijk vacature »

Junior Software developer

Functie Als junior .NET ontwikkelaar start jij in een compact team met drie ervaren .NET ontwikkelaars. Wij werken op projectbasis en begeleiden zelf het hele traject van A tot Z. Wij bieden jou dan ook een brede functie aan met veel technische uitdaging! Ons traject ziet er als volgt uit: 1) Wij analyseren de behoefte van onze klant 2) Wij werken de behoefte uit en vertalen dit naar technische werkzaamheden en maken een uren/kosten schatting; 3) Wij gaan aan de slag met het ontwikkelen van het product met directe feedback van de klant, zodat datgene gerealiseerd wordt, wat gewenst is;

Bekijk vacature »

Traineeship IT regio Amsterdam/Utrecht

Wat ga je doen? Het traineeship begint met een fulltime maand cursussen en praktijkdagen, waarin je de basis van het IT-vak leert op de Shared Servicedesk (SSD). Daarnaast ga je meteen aan de slag voor je eerste certificering! (ITILv4). Je start in een groep met 4 tot 10 deelnemers, waarmee jij gedurende die maand optrekt en je kennis kunt delen. Na het voltooien van de eerste maand ga je direct voor een langere periode aan de slag bij één van onze klanten of blijf je intern bij ons op de Shared Servicedesk. Je bent het eerste aanspreekpunt van de eindgebruikers

Bekijk vacature »

C# Ontwikkelaar

Functieomschrijving Voor een software ontwikkelaar in de omgeving van Vught zijn we op zoek naar een gemotiveerde C# ontwikkelaar. Deel jij hun passie voor development en dan vooral in C#.NET? Dan kan dit wel eens jouw droombaan zijn! Jouw werkzaamheden zullen er ongeveer als volgt uit gaan zien Door de wensen van de klant goed te begrijpen ga jij aan de slag dit om te zetten naar passende oplossingen en werk je deze uit tot een sterk eindproduct. Je gaat je bezighouden met de ontwikkeling van webapplicaties en websites, dit doe je door middel van ASP.NET, MVC Frameworks en C#.

Bekijk vacature »

Low Code Ontwikkelaar

In het kort Als Low Code Developer werk je aan projecten bij en voor onze klanten, waarbij je voor het ontwikkelen van de oplossingen een technisch low-code platform gebruikt. Samen met het team streef je naar de beste oplossing en bepalen jullie de juiste aanpak. Je rol is divers en je bent van begin tot eind betrokken bij de ontwikkeling zowel de back-end en de front-end van de applicatie. Naast de ontwikkeling en oplevering, breng je ook advies uit aan de klant waarom bepaalde keuzes worden gemaakt. Je bent dan ook communicatief sterk en kunt je keuzes goed (inhoudelijk) onderbouwen.

Bekijk vacature »

Developer Angular & Kotlin

Dit ga je doen Het (door)ontwikkelen van mobiele apps en webapplicaties; Het opstellen van technisch ontwerp en het bespreken van ontwerpen met de software architect; Het uitvoeren van werkzaamheden op het gebied van technisch testen; Het in de gaten houden van nieuwe ontwikkelingen op jouw vakgebied en het adviseren van de organisatie hierover. Hier ga je werken Het gaat om een bekend internationaal handelsbedrijf met ruim 800 medewerkers, verdeeld over verschillende deelbedrijven. Deze organisatie is van oorsprong een familiebedrijf, er wordt hard gewerkt, er heerst een no nonsense en doeners mentaliteit, een informele sfeer en er is een mix van

Bekijk vacature »

Medior PHP Developer

Bij Getnoticed doen wij wat we leuk vinden, websites bouwen en online marketing. Voor veel van onze klanten doen we dan ook allebei. Wel zo fijn om campagnes te draaien voor conversiegerichte website die in eigen beheer zijn. In onze vestiging in Nederweert zitten onze development afdelingen en worden de websites gebouwd. Op dit moment zijn we op zoek naar jou: dé PHP/Back-end developer die net als wij, het hoofd boven het maaiveld durft uit te steken! In het kort Even een paar punten die omschrijven wat deze toffe baan inhoudt: Het bedenken van nieuwe functionaliteiten Het verbeteren van het

Bekijk vacature »

IT Infrastructuur Developer

IT Infrastructuur Developer Ben jij (bijna) klaar met je HBO studie in de richting van IT? Opzoek naar een spannende eerste baan, waar je ontzettend veel kan leren? Dan hebben wij de ultieme job voor jou! Voor een goede klant van ons in de financiële dienstverlening zijn wij opzoek naar een Junior Infrastructure Developer. Deze baan is een mooie kans om een sterke start te geven aan jouw carrière binnen de IT! De job Je werkt nauw samen met het Devops team, en zal je voornamelijk bezighouden met het automatiseren van infrastructure componenten. De componenten worden opgevraagd door het DevOps

Bekijk vacature »

Medior Front-end Developer

Sogeti is een organisatie met een goede werksfeer en zo min mogelijk hiërarchische verhoudingen. Ga je bij ons als Medior Front-end Developer aan de slag? Dan werk je dagelijks met collega’s aan de mooiste IT-projecten. Deze snelgroeiende groep collega’s krijgt energie van hun vak en dat merk je op de werkvloer. Onze klantenkring is groot en divers, dat vraagt om flexibiliteit van jou. Tegelijkertijd betekent dit dagelijks nieuwe dingen leren én dat geen werkdag hetzelfde is. Natuurlijk krijg jij de mogelijkheid je te certificeren. We organiseren regelmatig technische Meet-ups en doen we veel aan kennisdeling waarbij iedereen welkom is, zowel

Bekijk vacature »
Dennis WhoCares

Dennis WhoCares

23/01/2013 14:48:26
Quote Anchor link
Ik maak hiervoor eventjes een nieuwe post aan, omdat het eigenlijk beetje offtopic was.
___
Session hijacking is toch wel interessant.
Ikzelf maak gebruik van mn database, waar mijn sessies opgeslagen worden
(unieke ID met username en ip adress van de gebruiker)
Vervolgens wordt t ip gecontrolleerd en de sessie.
Is dit te hijacken ?
Chris NVT op 23/01/2013 10:39:18:
@Dennis,
Wordt dat per sessie gedaan? Of eenmalig?

Als het eenmalig is kan de gebruiker dus nooit via een andere omgeving inloggen, aangezien hij daar een ander ip krijgt.


Zodra een gebruiker inlogd, wordt er een nieuwe sessie gemaakt, met huidige ip en huidige unieke sessie code. Deze sessie is voor 30 minuten actief, na 30 minuten inactiviteit wordt is deze verlopen.
Soortement van cookie met timeout.
______
Nou is mijn vraag als volgt: In laatste posts van mij gaf ik aan dat ik met een gallery bezig ben. In deze gallery kunnen mensen albums maken, en foto's uploaden naar database. Foto's en albums kunnen worden versleuteld met een wachtwoord. Dus voor buitenstaanders moeten ze eerst een wachtwoord invullen voordat ze deze kunnen bekijken.

Nou haal ik in een php script de image uit het database.
Is het veilig om sessie te gebruiken om de ingevoerde wachtwoord mee te geven, zodat ik vanuit de image.php kan controlleren of het wachtwoord wel klopt, bij de gegeven gallery_id ?
Ik zit hierover te tobben
Gewijzigd op 23/01/2013 14:52:09 door Dennis WhoCares
 
PHP hulp

PHP hulp

27/05/2026 05:23:08
 
Erwin H

Erwin H

23/01/2013 14:53:49
Quote Anchor link
Probleem met het opslaan van ip adres is dat je mobiele gebruikers regelmatig opnieuw zullen moeten inloggen. Die hebben namelijk door roaming niet altijd hetzelfde ip adres. Beter is om gegevens van de browser op te slaan (zie browser fingerprinting). Als iemand opeens met een ander browser, dan weet je dat het niet dezelfde persoon is. Cookies zijn namelijk per browser opgeslagen, die kan je niet even overzetten.
 
Dennis WhoCares

Dennis WhoCares

23/01/2013 15:06:35
Quote Anchor link
Worden cookies niet lokaal opgeslagen ? Daarom gebruik ik sessie, zodat een gebruiker deze niet zelf kan aanpassen?
Ik denk dat ik aan browseridentificatie beter af ben dan met ip-adres, daar heb je zeker gelijk in :) Mooie tip

Wat denk je van de veiligheid van mijn image? Hoe ken ik dat t beste oplossen ?
 
- SanThe -

- SanThe -

23/01/2013 15:07:54
Quote Anchor link
Nooit wachtwoorden in sessions en/of cookies zetten.
Dat is nergens voor nodig.
 
Dennis WhoCares

Dennis WhoCares

23/01/2013 15:14:09
Quote Anchor link
- SanThe - op 23/01/2013 15:07:54:
Nooit wachtwoorden in sessions en/of cookies zetten.
Dat is nergens voor nodig.


Dus t gehashde wachtwoord kan ik beter meegeven in de url van de image?
<img src='img.php?id=12&pass=---
 
Erwin H

Erwin H

23/01/2013 15:17:40
Quote Anchor link
Dennis WhoCares op 23/01/2013 15:06:35:
Worden cookies niet lokaal opgeslagen ? Daarom gebruik ik sessie, zodat een gebruiker deze niet zelf kan aanpassen?

Maar hoe denk je dat je sessie weet welke gebruiker je nu aan de lijn hebt? Door een sessie cookie op de browser van de gebruiker. Tenzij je er zelf een methode voor hebt geschreven....
 
Dennis WhoCares

Dennis WhoCares

23/01/2013 15:22:34
Quote Anchor link
Erwin H op 23/01/2013 15:17:40:
Maar hoe denk je dat je sessie weet welke gebruiker je nu aan de lijn hebt? Door een sessie cookie op de browser van de gebruiker. Tenzij je er zelf een methode voor hebt geschreven....


Wat bedoel je hier precies mee ?
Elke keer zodra een gebruiker pagina opent of refreshed wordt mijn controle opnieuw uitgevoerd. Klopt de verhouding niet met wat in database staat, is deze sessie weg gehaald en zal de gebruiker opnieuw moeten inloggen. Zodra gebruiker uitlogt, of browser sluit, gaat deze sessie ook verloren
 
Erwin H

Erwin H

23/01/2013 15:34:18
Quote Anchor link
Als jij een sessie start, dan installeert php al direct een cookie op de pc van de gebruiker. In dat cookie staat het sessie id. Bij een volgende aanroep controleert php weer of er een cookie met een sessie id is. Zo ja, dan wordt dat gebruikt, zo nee dan wordt een nieuwe aangemaakt.

Dat is dus ook direct het gevaar. Want een hacker kan dus het verkeer tussen browser en server afluisteren en dat sessie id uitlezen om op die manier een cookie op zijn eigen pc te zetten met dat sessie id.
(of via XSS zoals Kees in het andere topic uitlegt)

Je controle, op ip adres, is hier op zich wel afdoende voor (tenzij de hacker ook het ip adres spooft overigens), maar geeft dus een probleem voor mobiele gebruikers. Die moeten ook telkens opnieuw inloggen.
Gewijzigd op 23/01/2013 15:35:59 door Erwin H
 
Dennis WhoCares

Dennis WhoCares

23/01/2013 15:49:51
Quote Anchor link
Hmmmz ok, ik wist eigenlijk niet dat de browser een cookie maakt met sessie id.
Maar affijn, bedankt voor de info :)
 
TJVB tvb

TJVB tvb

23/01/2013 15:53:55
Quote Anchor link
Erwin H op 23/01/2013 15:34:18:
Je controle, op ip adres, is hier op zich wel afdoende voor (tenzij de hacker ook het ip adres spooft overigens), maar geeft dus een probleem voor mobiele gebruikers. Die moeten ook telkens opnieuw inloggen.


Dit is normaal gesproken alleen een probleem als een mobiele gebruiker zich ook verplaatst (van mast wisselt) Blijft die zitten om je website te bekijken dan zal zijn/haar ip niet wijzigen.
 
Erwin H

Erwin H

23/01/2013 16:02:44
Quote Anchor link
Dennis WhoCares op 23/01/2013 15:49:51:
Hmmmz ok, ik wist eigenlijk niet dat de browser een cookie maakt met sessie id.

Om het correct te zeggen, de server instrueert de browser om dat te doen. Maar ja, dat klopt. Kijk maar eens naar je eigen website, ook als het op localhost draait, dan zal je een cookie aantreffen met als naam PHPSESSID waarin het sessie id zit.
TJVB tvb op 23/01/2013 15:53:55:
Dit is normaal gesproken alleen een probleem als een mobiele gebruiker zich ook verplaatst (van mast wisselt) Blijft die zitten om je website te bekijken dan zal zijn/haar ip niet wijzigen.

Helemaal gelijk uiteraard.
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.