Sessionübernahme

[Auge]

Hallo

Wieso verwendest du die IP als Identifikationsmerkmal? Diese muss aufgrund von Proxy-Verwendung für ein und den selben User im Zeitraum der Session nicht unbedingt immer die selbe sein.

Die Ip wird beim Login als Sessionvariable gespeichert und immer wieder mit der eigenen verglichen. Hatte ich gelesen, dass es helfen soll.

Für z.B. AOL-Nutzer ist deine Lösung somit unbrauchbar. Selbige werden über Proxies auf das Internet losgelassen. Innerhalb einer Sitzung auch über verschiedene Proxies, womit diese Nutzer von einem Seitenaufruf zum nächsten durchaus mit verschiedenen IPs unterwegs sein können. Dein Skript schmeißt sie raus, obwohl sie immernoch, wenn auch mit anderer IP, sie selbst sind.

Ergab die Analyse des Server-Logfiles im in Frage kommenden Zeitraum einer dieser Übernahmen etwas Interessantes?

Darauf habe ich leider noch keinen Zugriff.

Frag mal deinen Hoster.

Tschö, Auge