Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: [MySQL][PHP]Pro¶ba o sprawdzenie bezpieczeństwa logowania
Forum PHP.pl > Forum > Przedszkole
kaznodzieja
28.02.2012, 19:30:22
Witam!
Mam pro¶bę o sprawdzenie bezpieczeństwa skryptu logowania z różnymi uprawnieniami, wszelkie uwagi sugestie mile widziane. Dodatkowo prosiłbym o jaki¶ pomysł na zabezpieczenie pliku baza.php
Login w przykładzie asd@asd.pl hasło admin.

Pliki do pobrania z http://vlaho.pl/test.7z

plik: logowanie.php
[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3. include ("baza.php");
  4.  
  5. $akcja = $_REQUEST['akcja'];
  6.  
  7.  
  8. switch($akcja) {
  9.  
  10.  
  11.  
  12.  
  13. // --------------------------------default------------------------------------  
  14.  
  15.         default:
  16. if (isset($_SESSION['prawa']) and isset($_SESSION['login']) and isset($_SESSION['password'])){
  17.  
  18. echo "<br /><center>Jestes zalogowany jako: <br /> <a href=logowanie.php?akcja=przerzut target='_parent'>".$_SESSION['login']."</a><br /><a href=logowanie.php?akcja=przerzut&login=logout target='_parent'>Wyloguj</a></center>";
  19. }else{
  20.  
  21. echo'<form action="logowanie.php?akcja=logowanie" target="_parent" method="post">
  22. 	<table width="25%" border="0" align="center">
  23. 	<tr>
  24. 		<td><div class="text2">Login:</div></td>
  25. 		<td><input type="text" name="login" size="15" /></td>
  26. 	</tr>
  27. 	<tr>
  28. 		<td><div class="text2">Haslo:</div></td>
  29. 		<td><input type="password" name="password" size="15"/></td>
  30. 	</tr>
  31. 	<tr>
  32. 		<td></td>
  33. 		<td><input type="submit" name="submit" value="Zaloguj" /></td>
  34. 	</tr>
  35. 	</table>
  36. 	</form>';
  37. }
  38.  
  39.  
  40.         break;
  41.  
  42. //---------------------SPRAWDZENIE JAKIE MASZ PRAWA----------------------------
  43.            case "przerzut":
  44.  
  45. if($_GET['login']<>"logout"){
  46.  
  47. if (isset($_SESSION['login']) and isset($_SESSION['password']) and isset($_SESSION['losowy_kod'])){
  48.  
  49. $login=$_SESSION['login'];
  50. $pass=$_SESSION['password'];
  51.  
  52. $wyk = mysql_query('SELECT login, password, prawa, stan FROM '.$prefiks.'admins WHERE email=\''.$login.'\' AND password=\''.$pass.'\'');
  53. $ile = mysql_num_rows($wyk);
  54. if ($ile>0){
  55.     $w = mysql_fetch_array($wyk);	
  56.     $prawa=$w['prawa'];
  57.     $stan=$w['stan'];
  58.     if ($stan==0){
  59.        if ($prawa==1){
  60. 	       //header("Location: logowanie.php?akcja=panel_a");
  61.            echo "panel administratora";
  62.         }
  63.         if ($prawa==2){
  64. 	      // header("Location: logowanie.php?akcja=panel_u");
  65.           echo "panel uzytkownika";
  66.         }
  67.     }else{
  68.         header("Location: index.php");
  69.     }
  70.  
  71. }else{
  72.     session_destroy();
  73.     header("Location: index.php");  
  74. }
  75. }else{
  76. //	cosik();
  77.     session_destroy();
  78.     header("Location: index.php"); 
  79. }
  80. }else{
  81.   session_destroy();
  82.     header("Location: index.php");    
  83. }
  84.  
  85.  
  86.   break;   
  87.  
  88. // --------------------------------LOGOWANIE------------------------------------        
  89.  
  90. case "logowanie":
  91. //session_start();
  92.  
  93.  
  94. include_once('baza.php');
  95.  
  96. if ( $_POST['login'] && $_POST['password'] ){
  97.     $login=mysql_escape_string(strip_tags($_POST['login']));
  98. 	$pass=mysql_escape_string(strip_tags($_POST['password']));
  99.  
  100. $wyk = mysql_query('SELECT * FROM '.$prefiks.'admins WHERE email=\''.$login.'\'');
  101. $ile = mysql_num_rows($wyk);
  102. if ($ile>0){
  103.  
  104. $wyk = mysql_query('SELECT * FROM '.$prefiks.'admins WHERE email=\''.$login.'\' AND password=\''.md5($pass).'\'');
  105. $ile = mysql_num_rows($wyk);
  106. if ($ile>0){
  107.     $w = mysql_fetch_array($wyk);	
  108.     $prawa=$w['prawa'];
  109.     $stan=$w['stan'];
  110.     $ost_log=$w['ost_log_tmp'];
  111.     $id_uzyt=$w['id'];
  112.     if ($stan==0){
  113.   		$_SESSION['login'] = $_POST['login'];
  114. 		$_SESSION['password'] = md5($_POST['password']);
  115. 		$_SESSION['prawa']= $prawa;
  116. 		$_SESSION['losowy_kod']='k3Dc6a^s';
  117.         $ost_log_tmp=date("Y-m-d G:i:s",time());
  118.         $_SESSION['ost_log']=$ost_log;
  119.         mysql_query("UPDATE ".$prefiks."admins SET ost_log = '$ost_log', ost_log_tmp='$ost_log_tmp' WHERE id ='$id_uzyt';");
  120.         if($prawa==1 or $prawa==2){
  121.             if ($prawa==1){
  122. 	          // header("Location: logowanie.php?akcja=panel_a");
  123.               echo "panel administratora";
  124.             }
  125.             if ($prawa==2){
  126. 	          // header("Location: logowanie.php?akcja=panel_u");
  127.                echo "panel uzytkownika";
  128.             }
  129.  
  130.         }else{
  131.             echo"nie posiada odpowiednich uprawnien";
  132.         }
  133.  
  134.     }else{
  135.         echo"uzytkownik został zablokwany";
  136.     }
  137. }else{
  138.     echo"Nie prawidłowy login lub hasło";
  139. }
  140. }else{
  141.      echo"Uzytkownik nie istnieje";
  142. }
  143. }else{
  144.     echo"Uzupelnij pola formularza";
  145. }
  146.  
  147.         break;
  148.  
  149.  
  150. // -------------------------ŁADOWANIE PANELU ADMINISTRATORA----------------------      
  151.     case "panel_a":
  152.  
  153. if (isset($_SESSION['login']) and isset($_SESSION['password']) and isset($_SESSION['losowy_kod'])){
  154.  
  155. $login=$_SESSION['login'];
  156. $pass=$_SESSION['password'];
  157.  
  158. $wyk = mysql_query('SELECT login, password, prawa, stan FROM '.$prefiks.'admins WHERE email=\''.$login.'\' AND password=\''.$pass.'\'');
  159. $ile = mysql_num_rows($wyk);
  160. if ($ile>0){
  161.     $w = mysql_fetch_array($wyk);	
  162.     $prawa=$w['prawa'];
  163.     $stan=$w['stan'];
  164.     if ($stan==0){
  165.        if ($prawa==1){
  166. 	       echo "panel administratora";
  167.         }
  168.     }else{
  169.         session_destroy();
  170.         header("Location: index.php");
  171.     }
  172.  
  173. }else{
  174.     session_destroy();
  175.     header("Location: index.php");  
  176. }
  177.  
  178. //	cosik();
  179.     session_destroy();
  180.     header("Location: index.php"); 
  181. }
  182.  
  183.  
  184.     break; 
  185.  
  186.  
  187. }?>
[PHP] pobierz, plaintext


plik: baza.php
[PHP] pobierz, plaintext 
  1. <?
  2. $host = "localhost"; 
  3. $user = "root"; 
  4. $pass = ""; 
  5. $base = "test";
  6. $prefiks="sb_";
  7. $link_mysql=mysql_connect($host, $user, $pass) or die('Nie można nawiązać połączenia z MySQL-em');
  8. mysql_selectdb($base) or die ('Nie można nawiązać połączenia z bazą danych');
  9.  
  10. ?>
[PHP] pobierz, plaintext 


[SQL] pobierz, plaintext 
  1. CREATE TABLE IF NOT EXISTS `sb_admins` (
  2.   `id` int(11) NOT NULL AUTO_INCREMENT,
  3.   `date` datetime NOT NULL DEFAULT '0000-00-00 00:00:00',
  4.   `login` varchar(255) CHARACTER SET utf8 COLLATE utf8_polish_ci NOT NULL,
  5.   `password` varchar(32) CHARACTER SET utf8 COLLATE utf8_polish_ci NOT NULL DEFAULT '',
  6.   `imie` varchar(15) CHARACTER SET utf8 COLLATE utf8_polish_ci NOT NULL,
  7.   `nazwisko` varchar(20) CHARACTER SET utf8 COLLATE utf8_polish_ci NOT NULL,
  8.   `kod` varchar(6) CHARACTER SET utf8 COLLATE utf8_polish_ci NOT NULL,
  9.   `email` varchar(255) CHARACTER SET utf8 COLLATE utf8_polish_ci NOT NULL DEFAULT '',
  10.   `prawa` int(1) NOT NULL DEFAULT '0',
  11.   `urodz` date NOT NULL,
  12.   `stan` int(1) NOT NULL,
  13.   `ost_log` datetime NOT NULL,
  14.   `ost_log_tmp` datetime NOT NULL,
  15.   `reg` int(1) NOT NULL,
  16.   PRIMARY KEY (`id`)
  17. ) ENGINE=MyISAM  DEFAULT CHARSET=utf8 AUTO_INCREMENT=49 ;
  18.  
  19.  
  20. INSERT INTO `sb_admins` (`id`, `date`, `login`, `password`, `imie`, `nazwisko`, `kod`, `email`, `prawa`, `urodz`, `stan`, `ost_log`, `ost_log_tmp`, `reg`) VALUES
  21. (1, '2006-11-20 00:18:36', 'asd@asd.pl', '21232f297a57a5a743894a0e4a801fc3', 'Jan', 'Kowalski', '', 'asd@asd.pl', 2, '1980-01-01', 0, '2012-02-28 18:18:25', '2012-02-28 19:11:03', 0);
[SQL] pobierz, plaintext
gothye
28.02.2012, 20:00:34
zamiast mysql_escape_string skorzystaj mysql_real_escape_string
załóż klucze w tabeli SQL na login i passwd
kaznodzieja
28.02.2012, 20:03:20
chodzi o Primary Key?
gothye
28.02.2012, 20:08:44
lepiej INDEX
po za tym klucze na polach VARCHAR to zło ,dlatego stosuje się konwersje string => int aby przyspieszyć wyszukiwanie po indwidualnych stringach w tabeli ,
swoj± drog± ,patrz±c na ten kod można go bardziej upro¶cić ,po co 2 razy sprawdzać mail w tabeli admins ? jak można raz ,razem z hasłem
kaznodzieja
28.02.2012, 20:15:46
no dobra dzięki, już prowadzam zmiany! A może jakie¶ inne uwagi na temat samego bezpieczeństwa
Nikto¶
5.03.2012, 10:32:43
Na pewno nie jest bezpieczne przechowywać hasła i kody w sesjach.Ja bym radził zapisywać id w sesji i odwoływać się po nim do pola z hasłem lub aktualnym kodem w twojej bazie danych.
kaznodzieja
5.03.2012, 10:44:35
Rozumiem że id użytkownika? Dzięki za uwagę. My¶lałem że skoro hasło jest w md5 to jest w miarę bezpieczne, oczywi¶cie je¶li mowa o normalnych hasłach a nie jaki¶ banalnych.
Nikto¶
5.03.2012, 10:48:26
W md5 bezpieczne??Raczej nie powiedziałbym.Ja bym raczej użył sha1+sol lub sha2.Jak już powiedziałem nie należy przechowywać ważnych danych w sesjach,co najwyżej id lub ewentualnie login usera.
kaznodzieja
5.03.2012, 10:53:25
ok, dzięki za informacje. Popołudniu naniosę poprawki.
Nikto¶
5.03.2012, 10:57:27
Odno¶nie bezpieczeń¶twa ,a gdzie masz walidacje pól formularza? Zabezpiecz zapytania SQL przed sql injection.Przydało by się jak±¶ recaptche zaimplikować na formularze rejestracji jak to ma być super bezpieczne.Nie chciałby¶ aby jaki¶ bot napierniczał ci ¶miecie do bazy danych.Troszeczkę roboty jeszcze Ciebie czeka.
kaznodzieja
5.03.2012, 11:12:35
Mam walidacje loginu czyli e-maila zrobiona w jQuery plugin Validation oraz antyspam za pomoc± SBLAM.

mam co¶ takiego dodane po uwagach gothye
$login=mysql_real_escape_string(strip_tags($_POST['login']));
$pass=mysql_real_escape_string(strip_tags($_POST['password']));
Muszę jeszcze w paru miejscach zmamienić $_POST['login'] na $login po filtracji

A jaki sposób można się jeszcze zabezpieczyć przed sql injection?
Nikto¶
5.03.2012, 11:24:01
Czyli masz walidacje po stronie klienta , a gdzie walidacja po stronie serwera.Ta walidacja będzie pięknie ładnie działać z wł±czon± obsług± js ,a co je¶li kto¶ to wył±czy w opcjach swojej przegl±darki-wtedy będzie sobie mógł wpisać w pola formularza wszystko co będzie chciał wł±cznie z metodami ataku xss.Zrób walidacje także po stronie serwera używaj±c wyrażeń regularnych.
kaznodzieja
8.03.2012, 22:04:09
Dzięki za odpowiedzi i podpowiedzi. Mam jeszcze jedno pytanie. W jaki sposób najlepiej przechowywać dane do logowanie do bazy danych? np plik baza.php w którym mam zapisany login,hasło, nazwę bazy i konektor(mysql_connect) zabezpieczony sposobem z atrykułu
To jest wersja lo-fi głównej zawarto¶ci. Aby zobaczyć pełn± wersję z większ± zawarto¶ci±, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.