PHP网站中session文件漏洞以及解决方法

　　常见PHP网站安全漏洞

　　对于PHP的漏洞，目前常见的漏洞有五种。分别是Session文件漏洞、SQL注入漏洞、脚本命令执行漏洞、全局变量漏洞和文件漏洞。这里分别对这些漏洞进行简要的介绍。

　　session文件漏洞

　　Session攻击是黑客最常用到的攻击手段之一。当一个用户访问某一个网站时，为了免客户每进人一个页面都要输人账号和密码，PHP设置了Session和Cookie用于方便用户的使用和访向。

　　对于Session漏洞的防范

　　从前面的分析可以知道，Session攻击最常见的就是会话劫持，也就是黑客通过各种攻击手段获取用户的Session ID，然后利用被攻击用户的身份来登录相应网站。

　　为此，这里可以用以下几种方法进行防范:

　　一是定期更换Session ID，更换Session ID可以用PHP自带函数来实现;

　　二是更换Session名称，通常情况下Session的默认名称是PHPSESSID，这个变量一般是在cookie 中保存的，如果更改了它的名称，就可以阻档黑客的部分攻击;

　　三是对透明化的Session ID进行关闭处理，所谓透明化也就是指在http请求没有使用cookies来制定Session id时，Sessioin id使用链接来传递.关闭透明化Session ID可以通过操作PHP.ini文件来实现;四是通过URL传递隐藏参数，这样可以确保即使黑客获取了session数据，但是由于相关参数是隐藏的，它 也很难获得Session ID变量值。

原文链接：https://segmentfault.com/a/1190000009077118?utm_source=sf-similar-article