Session Fixation

Definition

Attaque ou l'attaquant fixe l'ID de session d'un utilisateur avant qu'il se connecte, puis utilise cet ID pour usurper sa session.

Analogie

Comme donner une cle de chambre d'hotel a quelqu'un et attendre qu'il s'y installe pour entrer apres lui.

Exemple de code

// Apres login reussi, TOUJOURS regenerer
session_regenerate_id(true);

// Configuration stricte
ini_set('session.use_strict_mode', 1);
ini_set('session.use_only_cookies', 1);

Cas d'usage

Apres chaque changement de niveau de privilege (login, elevation de droits).

Anti-pattern

Termes lies