会话暴力破解
暴力破解会话的可行性如何？
我目前正在使用 CodeIgniter 数据库会话，它不使用本机 PHP 会话 - 会话 cookie 加密和用户代理匹配已打开。
假设我将会话过期时间设置为 4 个月，是否有人能够通过会话 ID 进行暴力破解？不仅要接管会话，还要大量删除帐户中的内容，造成一般混乱等（CI 的 CSRF 保护已打开）
我想为大多数用户提供一个持久的会话 ID，其中匿名用户将获得大部分功能注册用户，喜欢最喜欢的东西 - 类似于 StackOverflow。
How feasible is it to brute force sessions?
I'm currently using CodeIgniter database sessions, which does not utilize native PHP sessions - session cookie encryption and user agent matching is turned on.
Say I set the session expiration to 4 months, would somebody be able to brute force their way through session ids? Not just to take over sessions but also mass deleting things off accounts, cause general mayhem, etc (CI's CSRF protection is turned on)
I'd like to give most users a long lasting session id where anonymous users are given most of the functionality of a registered user, like favorite things - similar to StackOverflow.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
Codeigniter 会话请勿使用本机 php 会话< /a> （无论是数据库还是其他），因此您可以使用 config.php 文件中提供的加密密钥打开会话加密，这将有助于解决您的安全问题...
Codeigniter Sessions DO NOT utilize naitive php sessions (whether database or otherwise), as such you can turn on session encryption using the encryption key provided in your
config.phpfile which will help with your security concerns...如果你的加密密钥又长又复杂（我只是为我的 CI 加密密钥输入乱码），那么不，我想说的是，以当今的技术来说，它不太可能被暴力破解。如果您的密钥是字典单词和/或单词，那么可能会在 4 个月内发生。
除非您的网站非常受欢迎，否则我认为黑客不会浪费时间来攻击您的网站。黑客首先会瞄准的总是比你更大更好的人。
If your encryption key is long and complex (I just type gibberish for my CI encryption keys) then no, it's not Likely brute forcable with today's technology I would say. If your key is a dictionary word and or words, then yes it could be likely to happen in 4 months.
Unless your site is massively popular, I don't think a hacker would waste his time hacking your site. There is always someone bigger and better than you hackers will target first.