Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: [php] System logowania
Forum PHP.pl > Forum > PHP
MGreg
6.01.2009, 20:22:35
Witam. Stworzyłem system logowania i chciałbym, abyście sprawdzili, czy jest w miarę szczelny. Dane do logowania osadziłem w skrypcie na sztywno tj. login admin, hasło 123 - dane te będą pobierane z bazy danych oczywiście z zabezpieczeniem przed sql injection. Teraz jednak chodzi mi o sam system logowania.

login.php
[PHP] pobierz, plaintext 
  1. <?php
  2.   session_start();
  3.   session_regenerate_id();
  4.   
  5.   #wylgowywanie
  6.   function logout(){
  7.       if($_SESSION['logged']==1){
  8.           $_SESSION['logged']=0;
  9.           return true;
  10.       }    
  11.   }
  12.   
  13.   if($_GET['a']=='logout'){
  14.       if(logout()==true){
  15.           echo "Zostałeś wylogowany";
  16.       }
  17.       else{
  18.           echo "nie byłeś zalogowany";
  19.       }
  20.   }
  21.   
  22.   #logowanie
  23.   function logged(){
  24.       if($_SESSION['logged']==0){    
  25.           if($_GET['a']=='login'){        
  26.               if($_POST['login'] and $_POST['password']){            
  27.                   if($_POST['login']=='admin' and $_POST['password']=='123'){
  28.                       $_SESSION['logged']=1;
  29.                       $_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  30.                       if($_SESSION['logged']==1){
  31.                       return true;
  32.                       }                
  33.                   }
  34.                   else{
  35.                       return false;                
  36.                   }            
  37.               }        
  38.           }
  39.       }
  40.       else{
  41.           if($_SESSION['ip']==$_SERVER['REMOTE_ADDR'] and $_SESSION['logged']==1){
  42.               return true;
  43.           }    
  44.       }
  45.   }
  46.   
  47.   if(logged()==false){
  48.       include('template/login_form.php');
  49.   }
  50.   else{
  51.       echo "zalogowany";
  52.       echo "<a href=login.php?a=logout>Wyloguj</a>";
  53.   }
  54.   ?>
[PHP] pobierz, plaintext


template/login_form.php
[HTML] pobierz, plaintext 
  1. <form action="login.php?a=login" method=POST>
  2.       Login:<input type=text name=login>
  3.       Hasło:<input type=password name=password>
  4.       <input type=submit value="zaloguj">
  5.   </form>
[HTML] pobierz, plaintext


Jak widać na początku skryptu generowany jest losowy identyfikator sesji, w przypadku gdyby został w jakiś sposób skradziony dodałem jeszcze porównywanie IP, jeśli się nie zgadza logged() zwraca false.
Axexis
7.01.2009, 20:00:50
Za każdym odświeżeniem strony zmieniasz ID sesji. Nie kasują Ci się za każdym razem dane? d;

Dwa. Co jeśli ktoś ma proxy zmieniające IP co odświeżenie strony?
Trzy. Przy wylogowaniu wystarczy unset($_SESSION['logged']);.
Cztery. Jak sprawdzasz czy funkcja została wykonana wystarczy if(funkcja()).
MGreg
15.01.2009, 18:31:08
Zmieniłem trochę cały system, jeśli ktoś może to prosiłbym posprawdzać czy jest w miarę bezpieczny. Jeśli występuje jakaś dziura to prosiłbym byście mi napisali. Byście wszystkie sesje dokładnie widzieli dodałem wyświetlanie całej tablicy $_SESSION.

[PHP] pobierz, plaintext 
  1. <?php
  2.  ob_start();
  3.  session_start();
  4.  $NowTime = time(); #obecny czas
  5.  $SessTime = 3600; #czas trwania sesji
  6.  $LoggedTime = 300; #czas trwania sesji podczas bezczynności
  7.  
  8.  $login_form = "<form action=\"login.php?a=login\" method=POST>
  9.      Login:<input type=text name=login>
  10.      Hasło:<input type=password name=password>
  11.      <input type=submit value=\"zaloguj\">
  12.  </form>";
  13.  
  14.  #sprawdza czy jest zarejestrowana sesja
  15.  function check_session(){
  16.      if(isset($_SESSION['logged'])){
  17.          return true;
  18.      }
  19.      else{        
  20.          return false;
  21.      }
  22.  }
  23.  
  24.  #sprawdza dane z formularza
  25.  function check_form(){
  26.      if($_POST['login'] and $_POST['password']){
  27.          if(addslashes($_POST['login'])=='admin' and addslashes($_POST['password'])=='123'){
  28.              return true;
  29.          }
  30.          else{
  31.              return false;
  32.          }
  33.      }
  34.  }
  35.  
  36.  #zakańcza sesję
  37.  function end_session(){
  38.      if(check_session()){
  39.          unset($_SESSION['logged']);
  40.          unset($_SESSION['last_refresh']);
  41.          unset($_SESSION['session_start']);
  42.          unset($_SESSION['user_login']);
  43.      }
  44.  }
  45.  
  46.  #kontynuacja sesji
  47.  function continue_session(){
  48.      global $NowTime;
  49.      global $LoggedTime;
  50.      global $SessTime;
  51.      session_regenerate_id();
  52.      
  53.      #sprawdza czy nie upłynął czas trwania sesji, lub czy sesja jest zbyt długo bezczynna
  54.      if(isset($_SESSION['last_refresh'])){
  55.          if(($_SESSION['last_refresh']+$LoggedTime < $NowTime) or ($_SESSION['session_start']+$SessTime < $NowTime)){
  56.              return false;            
  57.          }
  58.          else{
  59.              $_SESSION['last_refresh']= $NowTime;
  60.          }
  61.          return true;
  62.      }
  63.      else{
  64.          $_SESSION['last_refresh']= $NowTime;        
  65.          return true;
  66.      }
  67.  }
  68.  
  69.  #właściwa funckja zarządzania sesjami
  70.  function session(){
  71.      global $NowTime;
  72.      global $login_form;
  73.      
  74.      if(check_session()){
  75.          if(continue_session()){
  76.              echo "Zalogowany jako:<b> ".$_SESSION['user_login']."</b> <a href=login.php?a=logout>wyloguj</a>";
  77.              return true;
  78.          }
  79.          else{
  80.              end_session();
  81.              header("location:login.php");
  82.          }
  83.      }
  84.      
  85.      else{        
  86.          if(check_form()){
  87.              $_SESSION['logged']=1;
  88.              $_SESSION['session_start'] = $NowTime;
  89.              $_SESSION['user_login'] = $_POST['login'];
  90.              header("location:login.php");
  91.          }
  92.          echo $login_form;
  93.      }
  94.  }
  95.  
  96.  if($_GET['a']=="logout"){
  97.      end_session();
  98.      header("location:login.php");
  99.  }
  100.  
  101.  session();
  102.  
  103.  echo '<pre>';
  104.  print_r( $_SESSION);
  105.   echo '</pre>';  
  106.  ?>
[PHP] pobierz, plaintext
Albitos
15.01.2009, 18:37:40
Masz podatność na ataki typu session fixation, poza tym ustaw sobie na początku skryptu error_reporting(E_ALL)...
MGreg
15.01.2009, 19:04:51
Skorzystałem za artykułu na stronie i na początku w.w skryptu dodałem
[PHP] pobierz, plaintext 
  1. <?php
  2. $regenerateReq = 10;
  3.  
  4. if(isset($_SESSION['req'])){
  5.     $_SESSION['req']++;
  6. }
  7. else{
  8.     $_SESSION['req']=1;
  9. }
  10.  
  11. if($_SESSION['req']>$regenerateReq){
  12.  session_regenerate_id(true);
  13.  $_SESSION['req']=1;
  14. }
  15. ?>
[PHP] pobierz, plaintext

Chyba session fixtation mamy już z głowy smile.gif

Cały skrypt wygląda teraz tak:
[PHP] pobierz, plaintext 
  1. <?php
  2. ob_start();
  3. session_start();
  4. error_reporting(E_ALL);
  5.  
  6. $NowTime = time(); #obecny czas
  7. $SessTime = 3600; #czas trwania sesji
  8. $LoggedTime = 300; #czas trwania sesji podczas bezczynności
  9. $regenerateReq = 10; #ilość rządań po której zostanie zregenerowany identyfikator sesji
  10.  
  11. if(isset($_SESSION['req'])){
  12.     $_SESSION['req']++;
  13. }
  14. else{
  15.     $_SESSION['req']=1;
  16. }
  17.  
  18. if($_SESSION['req']>$regenerateReq){
  19.  session_regenerate_id(true);
  20.  $_SESSION['req']=1;
  21. }
  22.  
  23. $login_form = "<form action=\"login.php?a=login\" method=POST>
  24.     Login:<input type=text name=login>
  25.     Hasło:<input type=password name=password>
  26.     <input type=submit value=\"zaloguj\">
  27. </form>";
  28.  
  29. #sprawdza czy jest zarejestrowana sesja
  30. function check_session(){
  31.     if(isset($_SESSION['logged'])){
  32.         return true;
  33.     }
  34.     else{        
  35.         return false;
  36.     }
  37. }
  38.  
  39. #sprawdza dane z formularza
  40. function check_form(){
  41.     if(isset($_POST['login']) and isset($_POST['password'])){
  42.         if(addslashes($_POST['login'])=='admin' and addslashes($_POST['password'])=='123'){
  43.             return true;
  44.         }
  45.         else{
  46.             return false;
  47.         }
  48.     }
  49. }
  50.  
  51. #zakańcza sesję
  52. function end_session(){
  53.     if(check_session()){
  54.         unset($_SESSION['logged']);
  55.         unset($_SESSION['last_refresh']);
  56.         unset($_SESSION['session_start']);
  57.         unset($_SESSION['user_login']);
  58.     }
  59. }
  60.  
  61. #kontynuacja sesji
  62. function continue_session(){
  63.     global $NowTime;
  64.     global $LoggedTime;
  65.     global $SessTime;    
  66.     
  67.     #sprawdza czy nie upłynął czas trwania sesji, lub czy sesja jest zbyt długo bezczynna
  68.     if(isset($_SESSION['last_refresh'])){
  69.         if(($_SESSION['last_refresh']+$LoggedTime < $NowTime) or ($_SESSION['session_start']+$SessTime < $NowTime)){
  70.             return false;            
  71.         }
  72.         else{
  73.             $_SESSION['last_refresh']= $NowTime;
  74.         }
  75.         return true;
  76.     }
  77.     else{
  78.         $_SESSION['last_refresh']= $NowTime;        
  79.         return true;
  80.     }
  81. }
  82.  
  83. #właściwa funckja zarządzania sesjami
  84. function session(){
  85.     global $NowTime;
  86.     global $login_form;
  87.     
  88.     if(check_session()){
  89.         if(continue_session()){
  90.             echo "Zalogowany jako:<b> ".$_SESSION['user_login']."</b> <a href=login.php?a=logout>wyloguj</a>";
  91.             return true;
  92.         }
  93.         else{
  94.             end_session();
  95.             header("location:login.php");
  96.         }
  97.     }
  98.     
  99.     else{        
  100.         if(check_form()){
  101.             $_SESSION['logged']=1;
  102.             $_SESSION['session_start'] = $NowTime;
  103.             $_SESSION['user_login'] = $_POST['login'];
  104.             header("location:login.php");
  105.         }
  106.         echo $login_form;
  107.     }
  108. }
  109. if(isset($_GET['a'])=="logout"){
  110.     end_session();
  111.     header("location:login.php");
  112. }
  113.  
  114. session();
  115.  
  116. echo '<pre>';
  117. print_r( $_SESSION);
  118.  echo '</pre>';  
  119. ?>
[PHP] pobierz, plaintext


Jakie mamy zabezpieczenia?
- regeneracja identyfikatora sesji po 10 rządaniach
- zakończenie sesji po 30 minutach
+ jeśli można to uznać za zabezpieczenie
- zakończenie sesji po 5 minutach bezczynności
rzymek01
15.01.2009, 19:12:31
nie potrzebnie w 42 dajesz addslashes
MGreg
15.01.2009, 19:15:28
Hehe, dodałem ten addslashes by później nikt nie mówił o braku filtrowania danych. Akurat ten fragment kodu jest na sztywno, w jego miejscu pojawi się pobieranie danych z bazy danych wraz z mysql_real_esape_string();
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.