Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: Sesje - bezpieczne logowanie
Forum PHP.pl > Forum > PHP
deha21
16.01.2010, 15:09:50
Witam,
Robię system logowania. Jako, że z sesji nie wiele rozumiem to dlatego zapytam się tutaj, czy dobrze jest to zrobione? Korzystałem z mojego starego skryptu logowania i z wikipedii winksmiley.jpg
Jak to lepiej zabezpieczyć?
[PHP] pobierz, plaintext 
  1. session_start();
  2.  
  3. if (!isset($_SESSION['init']))	{
  4. 	session_regenerate_id();
  5. 	$_SESSION['init'] = true;
  6. 	$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  7. }	
  8.  
  9. if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR']) {
  10. 	die('Próba przejęcia sesji udaremniona');	
  11. }
  12.  
  13. if(!isset($_SESSION['user'])) {
  14. 	$_SESSION['user']=0;
  15. }
  16.  
  17. if ($_SESSION['user'] > 0) {
  18. 	header ("Location: main.php");
  19. } else {
  20.  
  21. 	if($_SERVER['REQUEST_METHOD'] == "POST") {
  22.  
  23. 		require("../config.php");
  24.  
  25. 		$result=mysql_query("SELECT * FROM admin WHERE login='".htmlspecialchars($_POST['login'])."'");
  26. 		$row=mysql_fetch_array($result);
  27.  
  28. 		if (isset($row)) {
  29.  
  30. 			if (isset($_POST['login'])==$row['login']) {
  31.  
  32. 				if (md5(htmlspecialchars($_POST['password']))==$row['password']) {
  33. 					$_SESSION['user']=$row['id'];
  34. 					header ("location: main.php");
  35. 				} else {
  36. 					echo "<div id='loginbox'><span>Złe hasło</span><br>
  37. 								<form action='' method='post'>
  38. 								Login:<br><input type='text' name='login'><br>
  39. 								Hasło:<br><input type='password' name='password'><br>
  40. 								<input type='submit' value='Loguj'></div>";
  41. 				}
  42.  
  43. 			} else {
  44. 				echo "<div id='loginbox'>
  45. 				<span>Nie ma takiego użytkownika</span><br>
  46. 				<form action='' method='post'>
  47. 				Login:<br><input type='text' name='login'><br>
  48. 				Hasło:<br><input type='password' name='password'><br>
  49. 				<input type='submit' value='Loguj'></div>";
  50. 			}
  51. 		}
  52.  
  53. 		mysql_close();
  54.  
  55. 	} else {
  56. 		echo "<div id='loginbox'><form action='' method='post'>
  57. 		Login:<br><input type='text' name='login'><br>
  58. 		Hasło:<br><input type='password' name='password'><br>
  59. 		<input type='submit' value='Loguj'></div>";
  60. 	}	
  61.  
  62. }
[PHP] pobierz, plaintext


I teraz jeszcze jedna sprawa. To u góry to strona logowania. A teraz chce zrobić, że jak ktoś wejdzie na inną zabezpieczoną stronę to go przekierowuje do logowania:
[PHP] pobierz, plaintext 
  1. <? ob_start(); 
  2.  
  3. session_start();
  4.  
  5. if (!isset($_SESSION['init']))	{
  6. 	session_regenerate_id();
  7. 	$_SESSION['init'] = true;
  8. 	$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  9. }	
  10.  
  11. if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR']) {
  12. 	die('Próba przejęcia sesji udaremniona');	
  13. }
  14.  
  15. if(!isset($_SESSION['user'])) {
  16. 	$_SESSION['user']=0;
  17. }
  18.  
  19. if ($_SESSION['user'] > 0) {
  20.  
  21. ?>
  22.  
  23. <html>
  24. bla bla
[PHP] pobierz, plaintext

Ten kod u góry to header.php który includowany jest np. przez dodajnewsa.php. Dodajnewsa.php na końcu includuje plik footer.php który wygląda tak:
[PHP] pobierz, plaintext 
  1. </div>
  2. </body>
  3. </html>
  4. <? } else { header ("Location: index.php"); exit; } ob_end_flush(); ?>
[PHP] pobierz, plaintext

W poprzednim skrypcie miałem podobnie zrobione z tym, że tam nie było includowania headera ani footera, tylko ich kod był na stałe w pliku. I to pewnie przez to wyskakuje mi teraz taki błąd:
[PHP] pobierz, plaintext 
  1. Parse error: syntax error, unexpected $end in D:\HTTP\edeck 4\admin\header.php on line 61
[PHP] pobierz, plaintext

Linijka 61 to ostatnio linijka headera, który jest includowany na poszczególne strony.
dziurson
16.01.2010, 18:11:11
szukaj brakującego średnika, nawiasu, klamry czy czegoś podobnego
deha21
16.01.2010, 18:47:45
Tyle to wiem, niestety żadnego tego typu błędu nie znalazlem. Czy może to być przez to includowanie albo przez coś innego?
gothye
16.01.2010, 18:59:31
a oprócz tego zmień :

[PHP] pobierz, plaintext 
  1. htmlspecialchars($_POST['login'])
[PHP] pobierz, plaintext


na 

[PHP] pobierz, plaintext 
  1. addslashes(htmlspecialchars($_POST['login']))
[PHP] pobierz, plaintext


skoro to ma być bezpieczne logowanie winksmiley.jpg

dziurson
16.01.2010, 19:06:24
to może wklej te 61 linii i pomyślimy. bo tak trudno stwierdzić. i wątpię by to był błąd od include
deha21
16.01.2010, 19:24:34
Te 61 lini to pierwszy kod który wkleiłem (jest tam 62, widocznie gdzieś mi sie enter wklepał).
dziurson
16.01.2010, 19:58:33
No to wychodzi na to że nie możesz otworzyć if-a w jednym pliku i go zamknąć w innym pliku.
deha21
16.01.2010, 20:38:04
Musi być jakies wyjście winksmiley.jpg Na wielu stronach z gdzie korzystają z sesji widziałem taką konstrukcję strony gdzie header i footer sa includowane... Hmm. Pokombinuję jeszcze. Jak ktoś ma jakiś pomysł to piszcie. Również jeśli chodzi o kwestie bezpieczeństwa.
dziurson
16.01.2010, 20:41:47
Ja na przykład robię na odwrót - jest jeden plik index z zabezpieczeniami a treść jest includowana. Później jakieś mod_rewrite i jest ok
Co do bezpieczeństwa to może md5 zamienić na sha-1
deha21
18.01.2010, 10:48:30
Zrobiłem coś takiego na początku header.php:
[PHP] pobierz, plaintext 
  1. ob_start(); 
  2.  
  3. session_start();
  4.  
  5. if (!isset($_SESSION['init']))	{
  6. 	session_regenerate_id();
  7. 	$_SESSION['init'] = true;
  8. 	$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  9. }	
  10.  
  11. if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR']) {
  12. 	die('Proba przejecia sesji udaremniona');	
  13. }
  14.  
  15. if(!isset($_SESSION['user'])) {
  16. 	$_SESSION['user']=0;
  17. }
  18.  
  19. if ($_SESSION['user'] <= 0) {
  20. 	die("Niezalogowany");
  21. }
[PHP] pobierz, plaintext


Jeśli zamiast die zrobiłbym przekierowanie na plik logowania to teoretycznie nie musiałbym się martwić, że ktoś wejdzie na jakąś nieodpowiednią stronę bo go od razu przekieruje. I tak się dzieje. Z tym, że nawet jak się zaloguję i kliknę sobie na inną stronę która korzysta z tej sesji to pisze mi, że jestem "Niezalogowany". Może jest jakiś błąd w tym pierwszym kodzie mojego pierwszego posta?
dziurson
18.01.2010, 19:45:49 
[PHP] pobierz, plaintext 
  1. $result=mysql_query("SELECT * FROM admin WHERE login='".htmlspecialchars($_POST['login'])."'");
  2. 		$row=mysql_fetch_array($result);
  3.  
  4. 		if (isset($row)) {
  5.  
  6. 			if (isset($_POST['login'])==$row['login']) {
  7.  
  8. 				if (md5(htmlspecialchars($_POST['password']))==$row['password']) {
  9. 					$_SESSION['user']=$row['id'];
  10. 					header ("location: main.php");
  11. 				} else {
  12. 					echo "<div id='loginbox'><span>Złe hasło</span><br>
  13. 								<form action='' method='post'>
  14. 								Login:<br><input type='text' name='login'><br>
  15. 								Hasło:<br><input type='password' name='password'><br>
  16. 								<input type='submit' value='Loguj'></div>";
  17. 				}
  18.  
  19. 			} else {
  20. 				echo "<div id='loginbox'>
  21. 				<span>Nie ma takiego użytkownika</span><br>
  22. 				<form action='' method='post'>
  23. 				Login:<br><input type='text' name='login'><br>
  24. 				Hasło:<br><input type='password' name='password'><br>
  25. 				<input type='submit' value='Loguj'></div>";
  26. 			}
  27. 		}
[PHP] pobierz, plaintext


Ta część kodu potrzebuje przebudowy.
1. utwórz sobie zmienne na login i hasło i w nich zrób zabiegi zabezpieczające:
[PHP] pobierz, plaintext 
  1. $login = htmlspecialchars(trim($_POST['login']));
  2. $pass = md5(htmlspecialchars($_POST['password']));
[PHP] pobierz, plaintext


2. Ulepszmy zapytanie:
[PHP] pobierz, plaintext 
  1. $result=mysql_query("SELECT * FROM admin WHERE login='".$login."' AND password='".$pass."' LIMIT 1");
  2. 	$row=mysql_fetch_array($result);
[PHP] pobierz, plaintext


3. Warunek isset($row) jest trochę wątpliwy. Ja bym dał:
[PHP] pobierz, plaintext 
  1. if(mysql_num_rows($result) == 1)
[PHP] pobierz, plaintext


4. Nie dawaj potencjalnemu włamywaczowi za dużo informacji. Mówienie mu że podał dobry login ale hasło nie jest luką w bezpieczeństwie. Jeden komunikat typu "Błędne dane" w zupełności wystarczy.

I w tym momencie już wiem że dany użytkownik jest w bazie więc więcej nic nie musimy sprawdzać. Tak więc sklejmy teraz ten fragment do do kupy:
[PHP] pobierz, plaintext 
  1. $login = htmlspecialchars(trim($_POST['login']));
  2. $pass = md5(htmlspecialchars($_POST['password']));
  3.  
  4. $result=mysql_query("SELECT * FROM admin WHERE login='".$login."' AND password='".$pass."' LIMIT 1");
  5. $row=mysql_fetch_array($result);
  6.  
  7. 	if(mysql_num_rows($result) == 1) {
  8. 		$_SESSION['user']=$row['id'];
  9. 		header ("location: main.php");
  10. 	} else {
  11. 		echo "<div id='loginbox'><span>Błędne dane</span><br>
  12. 			<form action='' method='post'>
  13. 			Login:<br><input type='text' name='login'><br>
  14. 			Hasło:<br><input type='password' name='password'><br>
  15. 			<input type='submit' value='Loguj'></div>";
  16. 	}
[PHP] pobierz, plaintext

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.