Witam.

Przesiadam sie z autoryzacji ciasteczkowej na sesje - mialbym prosbe do osob znajacych sie na bezpieczenstwie zeby wypowiedzieli sie o moim skrypcie:

[PHP] pobierz, plaintext 
<?php
 
	session_start(); 
 
	// inicjuje zmienne ktore beda zawieraly informacje o uzytkowniku potrzebne dla skryptow w dalszej czesci strony:
 
	$_vc_typ = 0;	// typ 0 oznacza brak autoryzacji
 
	if((!isset($_SESSION['uzytkownik'])) ||(!isset($_SESSION['md5_haslo']))) {
 
		$_SESSION['uzytkownik'] = 0;
		$_SESSION['haslo'] = 0;
 
	} else {
 
		// pobieram zmienne przechowywane w sesji:
		$haslo = $_SESSION['md5_haslo'];
		$id = $_SESSION['id'];
 
		// sprawdzam czy dane trzymane w sesji sa poprawne i pobieram login (log) i typ uzytkownika (typ):
		$sql = mysql_connect('localhost','root','');
		mysql_select_db('testowa');
		$zap = mysql_query("SELECT `log`,`typ` FROM `_vc_usr` WHERE `id`='$id' AND `has`='$haslo' LIMIT 1");
		mysql_close($sql);
 
 
		if ( mysql_num_rows($zap) == 1 ) {
 
		// jesli dane byly poprawne:
			$rek = mysql_fetch_array($zap);
			$_vc_login = $rek['log'];		// login pobieram aby powitac uzytkownika
			$_vc_typ = $rek['typ'];			// dalej, sprawdzajac wartosc zmiennej "_vc_typ" bede wiedzial co moge wyswietlic a co nie
 
		} else {
 
		// jesli byly niepoprawne:
			echo 'Sesja zawiera nieprawidlowe dane. Koniec pracy skryptu.';
			exit();
 
		}
 
	}
?>
[PHP] pobierz, plaintext 

baza z uzytkownikami tworzona jest poleceniem:

[SQL] pobierz, plaintext 
CREATE TABLE `vc_usr` (`id` INTEGER PRIMARY KEY NOT NULL AUTO_INCREMENT ,`log` VARCHAR( 30 ),`has` VARCHAR( 30 ), `typ` INTEGER ) 
[SQL] pobierz, plaintext 

Jedyne co zauważyłem to to żebyś filtrował dane wprowadzane przez użytkownika

Daj sobie

[PHP] pobierz, plaintext 
$_SESSION['haslo'] = "' OR 1=1 ";
 
[PHP] pobierz, plaintext 

a login moze byc i pusty i zobacz że cię zaloguje :]

a nie wystarczy filtrowac danych od uzytkownika podczas odczytu danych z metody POST / GET ?

mozna jakos "sztucznie" ustawic jakas wartosc sesji w moim skrypcie, np. poprzez dopisanie czegos do adresu URL?

nanioslem poprawki, prosze o ocene:

[PHP] pobierz, plaintext 
<?php
 
	// inicjacja sesji:
	session_start(); 
 
	// dane do polaczenia z baza danych:
	require('skrypty/_vc_include/php/mysql.php');
 
	// inicjuje zmienne ktore beda zawieraly informacje o uzytkowniku potrzebne dla skryptow w dalszej czesci strony:
 
	$_vc_typ = 0;	// typ 0 oznacza brak autoryzacji
	unset($zap);
 
 
	// jesli uzytkownik przeslal dane metoda POST:
	if ((isset($_POST['vc_haslo'])) && (isset($_POST['vc_login']))){
 
		// pobieram dane:
		$haslo = addslashes(md5($_POST['vc_haslo']));
		$login = addslashes($_POST['vc_login']);
		$zap = "SELECT `id`,`log`,`typ` FROM `vc_usr` WHERE `log`='$login' AND `has`='$haslo' LIMIT 1";
 
	// jesli sa odpowiednie zmienne w sesji:
	} else if((isset($_SESSION['_vc_uzytkownik'])) && (isset($_SESSION['_vc_md5_hasla']))) {
 
		// pobieram zmienne przechowywane w sesji:
		$haslo = addslashes($_SESSION['_vc_md5_hasla']);
		$id = addslashes($_SESSION['_vc_uzytkownik']);
		$zap = "SELECT `id`,`log`,`typ` FROM `vc_usr` WHERE `id`='$id' AND `has`='$haslo' LIMIT 1";
 
	}
 
 
 
	// jesli zapytanie bylo wykonane:
	if(isset($zap)){
 
		// sprawdzam czy dane trzymane w sesji / przeslane metoda POST sa poprawne i pobieram login (log) i typ uzytkownika (typ):
		$sql = mysql_connect($_VC_S,$_VC_U,$_VC_H);
		mysql_select_db($_VC_B);
		$zap = mysql_query($zap);	
		mysql_close($sql);	
 
			// i dane byly poprawne:
			if ( mysql_num_rows($zap) == 1 ) {
 
				$rek = mysql_fetch_array($zap);
				$_vc_log = $rek['log'];			// login pobieram aby powitac uzytkownika
				$_vc_typ = $rek['typ'];			// dalej, sprawdzajac wartosc zmiennej "_vc_typ" bede wiedzial co moge wyswietlic a co nie
				$_vc_uid = $rek['id'];			// id uzytkownika potrzebne do oznazcania zmian ktore on dokonal
 
				// wstawiamy dane do sesji:
				$_SESSION['_vc_uzytkownik'] = $_vc_uid;
				$_SESSION['_vc_md5_hasla']  = $haslo;
 
			} 
 
	}
 
 
 
 
?>
[PHP] pobierz, plaintext