> Sessions virker på følgende måde:
> - Første gang man besøger et domæne får en et nummer.
> - Hver gang man besøger /samme/ domæne sendes nummeret med
> - De data, der ligger i session-variablene ligger /kun/ på serveren
> - Selv om du besøger andre domæner, så huske numrene til de allerede
> besøgte domæner - men nummeret til domæne1 er skjult for domæne2.
Fair and square
> Det du beskriver herover er:
> - Du besøger "profilsite" og får et nummer
> - Du logger ind - dvs på "profilsite" ved de, at dit nummer er logget ind
> - Du følger et link til et andet domæne - men du har ikke været der før,
> så intet nummer sendes med. Du modtager dog et nyt nummer.
> - Du vender tilbage til "profilsite". Her har brugeren et nummer, så det
> sender han med. "profilsite" ved at det nummer er logget ind.
Jeg skal lige være sikker på at vi taler om det samme så jeg beskriver lige
det hele en gang til og stiller så lige et spørgsmål til din beskrivelse
oven over:
* Jeg logger ind, lad os kalde det domæne1 (profilsitet)
* I min profil linker jeg til et andet site på domæne2 (lad os sige
www.google.com)
* Jeg klikker på linket og et nyt vindue åbnes med en ny URL -
www.google.com
* Oppe i adressebaren sletter jeg nu
www.google.com og overskriver den med
URL'en til domæne1 (altså profilsites url)
* Sitet åbnes og er identisk med domæne1-vinduet/jeg behøves ikke at logge
ind
For at overstående kan lade sig gøre må der da være sendt en eller anden
form for kommunikation mellem domæne1 og domæne2 der gør at jeg ikke behøves
at logge ind to gange... eller hvad?
For hvis det er som du beskriver så gemmes min session på serveren og så
ville jeg da mene at jeg skulle få et nyt sessionid når jeg overskriver
www.google.com med domæne1's URL og dermed et nyt login
I såfald vil jeg gerne have lidt flere detaljer om hvordan jeg automatisk
kan blive logget på uden at skrive bruger og pass bare ved at holde et
vindue aktivt som egentlig kom med en anden URL (
www.google.com)
> For at sin server skulle kunne se session-data, der ligger på
> "profilsitet" skal du kende brugerens nummer til det domæne. Men
> nummeret sendes kun med til det domæne det tilhører.
Det kan jeg i såfald ikke få til at passe med at jeg som sagt er logget ind
hvis jeg besøger sitet igennem vindue2/domæne2
> > Spørgsmålet er stadigvæk:
> > Er sessionen gemt for mig i kraft af at jeg ikke kan gætte den eller er
den
> > gemt af andre sikkerhedsmæssige årsager så jeg ikke kan få fat i den? -
for
> > det er som skrevet helt klart at min logon-session er gemt i og med at
jeg
> > kan åbne sitet i et andet vindue som jeg ikke har logget på...
>
> Det eneste måde det skulle kunne lade sig høre er at gætte på numre på
> "profilsitet" indtil du finder et nummer, der er logget ind.
> Det er i praksis /umuligt/ at gætte sig igennem de mange, mange mulige
> numre.
den omtalte ID er altså et servergeneret ID og er ikke specificeret - fx så
har jeg da set mit brugerID op til flere gange men det er ikke det vi taler
om her vel ?
> Så altså kan det ikke lade sig gøre, fordi du ikke kan gætte hvilke
> numre, der er tilknyttet de aktive sessions på et andet domæne.
Manuel bruteforce min ven, manuel bruteforce :D hehe...
// Peter