2 consultas

[gus_anomaly]

Hola estimado Foro,

acabo de subir un sitio a un hosting y cuando lo abro por primera vez me aparece esta extraña url:

http://www.dominio.com/plantilla.php...381ee53f32281f

Lo que esta demas es, sin dudas: ?PHPSESSID=d1c22f82adce2ccf5e381ee53f32281f


Otra cosa, en los htaccess hay cosas que NO deben faltar cuando por medio del sitio se accede a base de datos y hay transacciones, etc. ?????

Muchas gracias!
Gustavo.

[GatorV]

Eso es la sesión de PHP que se esta pasando por la URL, eso pasa cuando PHP no pudo establecer la cookie de sesión.

[gus_anomaly]

Gracias GatorV.... eso es por mi navegador que no soporta cookies?? digamos que si aparece no me preocupo, no es nada malo???

Saludos!
Gustavo.

[abimaelrc]

Podria resultar en algo malo si presionas algun enlace, creado por algun usuario que quiera llevarte a otra pagina y ahi ese usuario tome el valor recibido por get. Pero si el contenido de la pagina lo creas tu no te debe preocupar.

[GatorV]

Pues yo prefiero enviar mis cookies de sesión como HTTP, esto es porque al pasarlas por cookies normales (o peor en el navegador!) son muy vulnerables a un ataque que se conoce como XSS.

Lo mejor es que establezcas las cookies que sean solamente HTTP para que no tengas ese problema por ejemplo antes de session_start():

Código PHP:

$current = session_get_cookie_params();
session_set_cookie_params(
    $current['lifetime'],
    $current['path'],
    $current['domain'],
    $current['secure'],
    true
);
 

Saludos.

[abimaelrc]

En el código que te brinda GatorV lo importante es el último true, que lo que indica es que se envie por httponly, para evitar esos ataques, en especial los de javascript, aunque no todos los navegadores aceptan esa cabecera, pero reduce el ataque

[gus_anomaly]

Muchachos, muchisimas gracias, por ultimo: este codigo lo debo poner en todas las plantillas .php o solo en index?

Es muy extraño esto, estuve viendo bien y aparece sólo cuando abro el sitio, al hacer el primer click... solo en el primer click.

Saludos!
Gustavo.

[GatorV]

Lo tienes que poner en donde hagas las llamadas a session_start();

@abimaelrc, la mayoría de los navegadores nuevos lo soportan, y desde IE6 (que es el mas usado) ya lo soporta

[abimaelrc]

Si, si solo indico lo que dice el manual Mira que el de zend me tiene frustrado, no tumbes el otro

[GatorV]

Para eso es mejor ver una referencia más actual como la de OWASP