Session Fixation

Définition

Attaque ou l'attaquant fixe l'ID de session d'un utilisateur avant qu'il se connecte, puis utilise cet ID pour usurper sa session.

Analogie

Comme donner une clé de chambre d'hôtel a quelqu'un et attendre qu'il s'y installe pour entrer après lui.

Exemple de code

// Apres login reussi, TOUJOURS regenerer
session_regenerate_id(true);

// Configuration stricte
ini_set('session.use_strict_mode', 1);
ini_set('session.use_only_cookies', 1);

Cas d'usage

Après chaque changement de niveau de privilège (login, élévation de droits).

Anti-pattern

Termes liés