Cross Site Session Passing

megablue

如果我把 *.abc.com 的user session 传给 *.cba.com (通过cba.com/cookie.php 有check referrer) 会有什么security concerns 吗? 然后两个sites的user session 都一样了. 那两个sites 都是在同一个Session system 里的.

megablue

没有人懂吗？

Legend

你是不是想在不同的domain共用同样的session??

archiles

 就看你怎么传咯。 abc。com 传给 cba.com 的那段 ，假如 xyz 也假装成abc 传给cba 是否行的通？ 你有encrypt abc给cba 的那段吗？

megablue

Legend 发表于 5-12-2009 05:22 PM

你是不是想在不同的domain共用同样的session??

Exactly... 用是用到了...只是怕有security concerns.

就看你怎么传咯。 abc。com 传给 cba.com 的那段 ，假如 xyz 也假装成abc 传给cba 是否行的通？ 你有 ...
archiles 发表于 5-12-2009 05:26 PM

那只是set client side的cookie (session id)...
也不是什么见不得光的data..就算是冒充...也得先攻破session system.而且也不用多此一举...直接在browser set cookie 也可以达到相同效果.

Legend

Exactly... 用是用到了...只是怕有security concerns.
megablue 发表于 6-12-2009 04:24 PM

security方面不是很清楚...你可以限制只有你两个doamin才可以access你的session...
如果你是通过url pass session id的话, 可能需要关注一下...