[SESSION_ID] pytanie... Opcje

[matix]

Witam,

wiele osób mówi, że można shakować serwis za pomocą Session ID. Dziwi mnie to, gdyż nie widzę jakoś możliwości wykorzystania tego.

Mógłby mnie ktoś bardziej oświecić, gdyż robię serwis rozrywkowy, a nie wiem czy się przed tym tak baardzo zabezpieczać. Pozdrawiam (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[Darti]

Po uwierzytelnieniu (jakieś logowanie) serwisy często przypisują danemu SID status "zalogowany" i taka przeglądarka, która poda odpowiedni SID ma dostęp do części chronionej. W momencie, gdy user nie naciśnie "wyloguj" tylko po prostu zamknie przeglądarkę, to sesja jeszcze przez jakiś czas jest aktywna po stronie serwera. Znając aktywny, uwierzytelniony SID można się w tym czasie pod kogoś podszyć.