Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: [PHP][SQL]zabezpieczenie logowania
Forum PHP.pl > Forum > Przedszkole
PiiiT
21.10.2008, 13:50:45
Witam, proszę o informację na temat zabezpieczenia strony logowania. Otóż mam stronę logowania, na tórej sprawdzam czy ciągi login i hasło wpisywane przez użytkownika są literami i cyframi, czy mają odpowiednnią długość (10 i 15 znaków). Pole hasła jest osobno szyfrowane 256bitowym kluczem. Przy sprawdzaniu w bazie czy login i hasło istnieje korzystam z '".htmlspecialchars($_POST["login"])."' który zgodnie z opisem usuwaja niebezpieczne znaki wprowadzane przez użytkownika typu \ / Znalazłem też informację że przy zabezpieczeniu strony należy również używać funkcji strip_tags, addslashes() i stripslashes() do odczytu czystego tekstu bez /. Czy funkcja htmlspecialchars nie spełnia tych funkcji? Co sądzicie o zabezpieczeniu logowania do katalogu udostępnianego przez przeglądarki (chodzi o autoryzację która wyświetla okno z przeglądarki z prośbą o podanie loginu i hasła coś jak logowanie do serwerów) - dzięki niemu mamy podobno pewność że łączymy się z odpowiednią bazą użytkownikiem który ma odpowiednie prawa? Co o tym sądzicie?
empathon
21.10.2008, 13:55:32
Jeśli oczekujesz audytu pokaż kod bądź daj linka do aplikacji.
Pisząc używam tego i tego nic nie przekazujesz bo najważniejsze jest właściwe użycie.
MWL
21.10.2008, 14:05:24
cóż ja mogę ci polecić stronkę naszego bledzia. Tam znajdziesz info na temat różnego typu zabezpieczeń. Poza tym pokaż kod...
PiiiT
21.10.2008, 14:10:15
Oto kod:

[PHP] pobierz, plaintext 
  1. <?php
  2.  
  3.  
  4. ob_start();
  5. session_start();
  6.  
  7. if(empty($_SESSION["zalogowany"]))$_SESSION["zalogowany"]=0;
  8.  
  9. include 'conf.php';
  10.  
  11. function ShowLogin($komunikat=""){
  12.  echo "$komunikat<br>";
  13.  echo "<Table border = 0 rules=void align=center cellpadding=5 bgcolor=#96d2f2>";
  14.  echo "<form action='index.php' method=post>";
  15.  echo "<td colspan=3 bgcolor=#ececec align=center><img src=/baza/logo.png alt=logo></td></tr>";
  16.  echo "<td colspan=3 bgcolor=#96d2f2 align=center><strong>Panel logowania</strong> </td></tr>";
  17.  echo "<tr><td width=\"40%\" style=\"text-align: right\"><b>Login: </b></td><td><input type=text name=login></td></tr><br>";
  18.  echo "<tr><td width=\"40%\" style=\"text-align: right\"><b>Hasło: </b></td><td><input type=password name=haslo></td></tr><br>";
  19.  echo "<tr><td colspan=2 align=center><input type=submit value='Zaloguj!'></td></tr>";
  20.  echo "</form>";
  21.  echo "</Table>";
  22.  
  23. }
  24. $login = $_POST['login'];
  25. $pass = $_POST['haslo'];
  26. //print $nazwa;
  27. $zakod = md5($pass);
  28.  
  29. $login = strip_tags($_POST[login]);
  30. if(strlen($login) < 10){
  31. $login = addslashes($login);
  32. //POLECENIA ZAPISUJĄCE ZMIENNĄ $komentarz W BAZIE!
  33. }else{
  34. echo 'Twój login jest za długi!';
  35. }
  36.  
  37. $pass = strip_tags($_POST[pass]);
  38. if(strlen($pass) < 10){
  39. $pass = addslashes($pass);
  40. //POLECENIA ZAPISUJĄCE ZMIENNĄ $komentarz W BAZIE!
  41. }else{
  42. echo 'Twóje hasło jest za długie!';
  43. }
  44.  
  45. ?>
  46.  
  47. <html>
  48. <meta http-equiv="content-type" content="text/html; charset=utf-8">
  49. <head>
  50.  <title>Strona logowania</title>
  51. </head>
  52. <body bgcolor="#ececec">
  53.  
  54. <table>
  55. <tr>
  56. <?php
  57. if($_GET["wyloguj"]=="tak"){$_SESSION["zalogowany"]=0;echo "<meta http-equiv=\"refresh\" content=\"0;URL=index.php\">";}
  58. if($_SESSION["zalogowany"]!=1){
  59.  if(!empty($_POST["login"]) && !empty($_POST["haslo"])){
  60.      if(mysql_num_rows(mysql_query("select * from user where login = '".htmlspecialchars($_POST["login"])."' AND pass = '$zakod'"))){
  61.          echo "<meta http-equiv=\"refresh\" content=\"0;URL=menu.php\">";
  62.          $_SESSION["zalogowany"]=1;
  63.          }
  64.      else echo ShowLogin("Podano złe dane!!!");
  65.      }
  66.  else ShowLogin();
  67. }
  68. else{
  69.  
  70.  
  71. }
  72. ?>
  73. </tr>
  74. </table>
  75. </body>
  76. </html>
  77. <?php mysql_close();
  78. ob_end_flush();?>
[PHP] pobierz, plaintext


I jeszcze jedno pytanie, czy można jakoś ukryć plik index.php w action? Tak żeby po wyświetleniu źródła strony nie było go widać?
empathon
21.10.2008, 14:44:24
Sprawdzanie długości loginu czy hasła nie ma nic wspólnego z bezpieczeństwem.
Czyszczenie z tagów w tym wypadku też niczego Ci nie daje. Używaj tego gdy podane przez użytkownika dane chce potem gdzieś wyświetlić (poczytaj o XSS).
Jedyną sensowną rzeczą jaką robisz jest addslashes ale tak naprawę nie wiele Ci to daje (patrz SQL injection).
Kolejną sprawą jest to, że używasz natywnych funkcji do łączenia się z bazą danych (sprawdź PDO).

Zapytanie do bazy danych powinno wyglądać tak:
[PHP] pobierz, plaintext 
  1. <?php
  2. $query = "select pass from user where login = $login";
  3. ?>
[PHP] pobierz, plaintext

i dopiero potem sprawdzasz czy pass równy jest hashowi usykanemu z hasła w POST'cie (poczytaj o http://en.wikipedia.org/wiki/Password_salting ).

Jeśli chcesz mieć naprawdę bezpieczną stronę musisz również sprawdzić czy sesja tak naprawdę należy do Twojego użytkownika (Session Hijacking).

Notes:
http://www.sitepoint.com/blogs/2004/03/03/...ssion-security/
http://phpsec.org/projects/guide/4.html

Nie przestrasz się - należy dobierać środki do celu - jeśli skrypt zabezpieczenia kolekcji prywatnych lolcatów z pewnością wystarczy. Jeśli ma bronic systemu bankowego, sklepu - czeka Cię jeszcze długa droga. Powodzenia.

Ps. Na wortalu jest pare artów na ten temat.
Spawnm
21.10.2008, 14:54:16
to ma sens?
[PHP] pobierz, plaintext 
  1. <?php
  2. $login = $_POST['login'];
  3. $pass = $_POST['haslo'];
  4. //print $nazwa;
  5. $zakod = md5($pass);
  6.  
  7. $login = strip_tags($_POST[login]);
  8.  
  9. //....
  10.  
  11. if(!empty($_POST["login"]) && !empty($_POST["haslo"])){
  12.      if(mysql_num_rows(mysql_query("select * from user where login = '".htmlspecialchars($_POST["login"])."' AND pass = '$zakod'"))){
  13. ?>
[PHP] pobierz, plaintext


chyba nie....
bliitz
21.10.2008, 15:04:34
http://pl.php.net/manual/pl/function.mysql...cape-string.php

zajrzyj tutaj
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.