Недавно, после того как у меня обострилась паранойя после добавление на свой сайт платёжной системы я всерьез заинтересовался проблемами безопасности. Одна из распространенных проблем в безопасности — это кража кук, с помощью всяческих XSS уязвимостей, которые (XSS уязвимости) присуствовали даже в старых релизах LS. Проблема есть и она очень даже серьезная, и чтобы такого не произошло я сделал у себя на сайте возможность привязки сессии к IP адресу и тем у кого IP динамический или серый привязку к юзерагенту браузера. Механизм очень интересный, если злоумышленник «похищает» куку, а у пользователя при авторизации включена привязка к IP или юзерагенту, то при попытке воспользоваться кукой она просто теряет свою актуальность, т.е. в случае несовпадения юзерагента или IP выполняется выход из системы и сессия автоматически закрывается, а чтобы начать новую нужно вводить пароль, без этого ни как. К сожалению не знаю как оформить это плагином, поэтому описываю пошагово процесс внедрения, надеюсь что понятно.

1. Модернизация кода:
1.1. Ищем файл
classes/actions/ActionLogin.class.php

В функцию EventAjaxLogin(), после строки (85 строка):

$this->User_Authorization($oUser,$bRemember);

Добавляем следующие строки

// * Если нужно то запоминаем IP в сессию
if(getRequest('remember_ip', false)) {
	$this->Session_Set('user_ip', $_SERVER['REMOTE_ADDR']);
	$this->Session_SetCookie('check_ip', 1, Config::Get('sys.cookie.time'));
}

// * Если нужно то запоминаем браузер в сессию
if(getRequest('remember_browser', false)) {
	$this->Session_Set('user_browser', md5($_SERVER['HTTP_USER_AGENT']));
	$this->Session_SetCookie('check_useragent', 1, Config::Get('sys.cookie.time'));
}

Сохраняем.

1.2. Ищем файл
classes/modules/user/User.class

В функцию Init(), после строки (71 строка):

if ($this->oSession=$oUser->getSession()) {

Добавляем следующие строки

#Проверка IP адреса		
if($this->Session_Get('user_ip')){
	#Проверяем совпадает ли IP в сессии и IP клиента
	if($this->Session_Get('user_ip') != $_SERVER['REMOTE_ADDR']) {
		$this->Logout();
		return;						
	}
}

#Проверка браузера	
if($this->Session_Get('user_browser')){
	#Проверяем совпадает ли хеш агента браузер в сессии и хеш агента браузера клиента
	if($this->Session_Get('user_browser') != md5($_SERVER['HTTP_USER_AGENT'])) {
		$this->Logout();
		return;						
	}
}

В функцию Authorization(), после строк (после 526 строки):

if ($bRemember) {
	setcookie('key',$sKey,time()+Config::Get('sys.cookie.time'),Config::Get('sys.cookie.path'),Config::Get('sys.cookie.host'),false,true);
}

Добавляем следующие строки

/**
 * Если нужно то запоминаем IP в сессию и продляем жизнт куке
 */		
if($this->Session_GetCookie('check_ip')) {
	$this->Session_Set('user_ip', $_SERVER['REMOTE_ADDR']);
	$this->Session_SetCookie('check_ip', 1, Config::Get('sys.cookie.time'));
}

/**
 * Если нужно то запоминаем агент браузера в сессию и продляем жизнт куке
 */	
if($this->Session_GetCookie('check_useragent')) {
	$this->Session_Set('user_browser', md5($_SERVER['HTTP_USER_AGENT']));
	$this->Session_SetCookie('check_useragent', 1, Config::Get('sys.cookie.time'));
}

В функцию Logout(), после строки (571 строка):

$this->Session_Drop('user_id');

Добавляем следующие строки

// * Удаляем IP из сессии
$this->Session_Drop('user_ip');	
// * Удаляем куки флага проверки IP адреса
$this->Session_DelCookie('check_ip');		
// * Удаляем хэш агента браузера из сессии
$this->Session_Drop('user_browser');
// * Удаляем куки флага проверки хэша агента браузера
$this->Session_DelCookie('check_useragent');

Сохраняем.

2. Модернизация шаблона (на примере дефолтного шаблона synio):
2.1. Ищем файл
templates/skin/synio/window_login.tpl

В функцию EventAjaxLogin(), после строки (85 строка):

$this->User_Authorization($oUser,$bRemember);

После 40 строки:

<label class="remember-label"><input type="checkbox" name="remember" class="input-checkbox" checked /> {$aLang.user_login_remember}</label>

Добавляем следующие строки

<label class="remember-label"><input type="checkbox" name="remember_ip" class="input-checkbox" /> {$aLang.user_login_remember_ip}</label>
<label class="remember-label"><input type="checkbox" name="remember_browser" class="input-checkbox" /> {$aLang.user_login_remember_browser}</label>

Сохраняем.

2.2. Ищем файл
templates/skin/synio/actions/ActionLogin/index.tpl

После 18 строки:

<p><label><input type="checkbox" name="remember" checked class="input-checkbox" /> {$aLang.user_login_remember}</label></p>

Добавляем следующие строки

<p><label><input type="checkbox" name="remember_ip" class="input-checkbox" /> {$aLang.user_login_remember_ip}</label></p>
<p><label><input type="checkbox" name="remember_browser" class="input-checkbox" /> {$aLang.user_login_remember_browser}</label></p>

Сохраняем.

3. Добавляем языки (на примере Русского языка)
3.1. Ищем файл
templates/language/russian.php

После 23 строки

return array(

Добавляем следующие строки

'user_login_remember_ip' => 'Привязать сессию к IP',
'user_login_remember_browser' => 'Привязать сессию к браузеру',

Сохраняем и пользуемся.