Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: Bezpieczeństwo tego skryptu
Forum PHP.pl > Forum > Przedszkole
julek12
19.08.2009, 11:35:45
Witam,
Mam pytanie czy skrypt jest w miarę bezpieczny? To moja pierwsza przygoda z sessions więc się pytam oto skrypt:

[PHP] pobierz, plaintext 
  1. <?php
  2. header('Content-Type: text/html; charset="utf-8"');
  3. session_start();
  4. ?>
  5. <<?php ?>?xml version="1.0" encoding="utf-8"?<?php ?>>
  6. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd">
  7. <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="pl">
  8. <head>
  9. <meta http-equiv="Content-Language" content="pl" />
  10. <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
  11. <meta http-equiv="Reply-To" content="julek12@tibiaserv.pl" />
  12. <title>TibiaServ.PL - Sonda</title>
  13. <meta name="verify-v1" content="OzJlYgcY2J+e78CLZ67a5VBn3nupIh+B0BCyp5crrSg=" />
  14. <meta name="keywords" content="tibia, ots, open tibia server, otserv, lua, xml, server, otfans, iots, acc maker, skrypty, php, silniki, mapy, klienty, cheaty, tutoriale, otmapeditor, lista serwerow, forum" />
  15. <meta name="description" content="Polski Support Open Tibia Serwer (OTS). Forum, download, skrypty, tutoriale, lista OTS, otserv, iots, otfans, otsy, silniki, mapy" />
  16. <meta name="Robots" content="all, index, follow" />
  17. <meta name="Author" content="Juliusz Marciniak" />
  18. </head>
  19. <body>
  20. <form method='post' action='login.php'>
  21. <b>Nazwa użytkownika:</b> <input type='text' name='nick'><br />
  22. <b>Hasło:</b> <input type='password' name='password'><br />
  23. <input type='submit' value='Wyślij' name='submit'>
  24. </form>
  25. <?php
  26. try
  27. {
  28. 	$nick = trim(strip_tags($_POST['nick']));
  29. 	$password = md5(md5(trim(strip_tags($_POST['password']))));
  30.  
  31. 	if(isset($_SESSION['login']))
  32. 	{
  33. 		echo "Witaj, ".$_SESSION['nick']; 
  34. 	}
  35. 	else
  36. 	{
  37. 		if (isset($_POST['submit']))
  38. 		{	
  39. 			$pdo = new PDO('mysql:host=localhost;dbname=xxx', 'xxx', 'xxx', array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));
  40. 			$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  41. 			$sql = $pdo->prepare('SELECT `nick`, `password` FROM `admins` WHERE `nick` = :nick AND `password` = :password');
  42. 			$sql->bindValue(':nick', $nick, PDO::PARAM_STR);
  43. 			$sql->bindValue(':password', $password, PDO::PARAM_STR);
  44. 			$sql->execute();
  45. 			$dane = $sql->fetch(); 
  46. 			if ($dane)
  47. 			{
  48. 				session_regenerate_id();
  49. 				$_SESSION['login'] = true;
  50. 				$_SESSION['nick'] = $nick;
  51. 				$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  52. 				if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'])
  53. 				{
  54. 					die('Proba przejecia sesji udaremniona!');
  55. 				}
  56. 				echo 'Zostałeś zalogowany.';
  57. 			}
  58. 			else
  59. 			{ 
  60. 				echo "Złe hasło lub login, proszę spróbować ponownie";
  61. 			}
  62. 		}
  63. 	}
  64. }
  65. catch(Exception $e)
  66. {
  67.    echo $e->getMessage();
  68. }
  69. ?>
  70. </body>
  71. </html>
[PHP] pobierz, plaintext
erix
19.08.2009, 11:36:31
A czy Waść czytał przyklejone wątki? Audyt, to normalna usługa.
julek12
19.08.2009, 11:40:51
Czytałem ale o sesjach nie znalazłem mógłbyś pokazać palcem?
Fifi209
19.08.2009, 11:54:37 
[PHP] pobierz, plaintext 
  1. $dane = $sql->fetch();
  2. if ($dane)
[PHP] pobierz, plaintext


Ja bym dał:
[PHP] pobierz, plaintext 
  1.  
  2. if ($sql->rowCount() == 1) {
  3.  
  4. }
[PHP] pobierz, plaintext


To:
[PHP] pobierz, plaintext 
  1. $_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  2. if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'])
  3. {
  4. die('Proba przejecia sesji udaremniona!');
  5. }
[PHP] pobierz, plaintext


Jest bez sensu...
Mogłeś równie dobrze napisać:
[PHP] pobierz, plaintext 
  1. if (true !== true) {
  2. // warunek nigdy nie spełniony
  3. }
[PHP] pobierz, plaintext


Mam nadzieję, że rozumiesz.

P.S. PDO nie ma własnych wyjątków?
PDOException
julek12
19.08.2009, 11:57:41
to wziąłem stąd http://forum.php.pl/index.php?showtopic=30...mp;#entry455375

A tak poza tym skrypt bezpieczny?

A jak robię throw new Exception('') to mi te wyjątki z PDO chyba nie zadziałają czy się mylę?
Fifi209
19.08.2009, 12:02:22
Nie, bo PDO wyrzuci Ci wyjątek kiedyś, że nie może połączyć się z bazą, jak go nie złapiesz to ktoś będzie miał Twoje dane do serwera mysql.

[PHP] pobierz, plaintext 
  1. $password = md5(md5(trim(strip_tags($_POST['password']))));
[PHP] pobierz, plaintext

Wystarczy:
[PHP] pobierz, plaintext 
  1. $password = md5($_POST['password']);
[PHP] pobierz, plaintext


Double md5 nie ma sensu, było o tym na forum. Poza tym lepiej używać sha1.

A przed kradzieżą sesji ten skrypt Cię nie zabezpiecza. winksmiley.jpg
nospor
19.08.2009, 12:03:58
Cytat
to wziąłem stąd
Przeciez wziales tylko czesc stamtad i powycianales losowo pare linijek i myslisz ze bedzie to samo blinksmiley.gif przeciez tą wycinka zmieniles zupelnie zasade dzialania tamtego kodu.
julek12
19.08.2009, 12:05:04
a co zrobić żeby zabezpieczał?
nospor
19.08.2009, 12:06:13
musisz poprawnie skopiowac tamten kod, z ktorego wyciales wiekszosc linijek tongue.gif
Fifi209
19.08.2009, 12:06:43
Cytat(julek12 @ 19.08.2009, 12:05:04 ) *
a co zrobić żeby zabezpieczał?

Wstawić kod, który zabrałeś z innego tematu w odpowiednim miejscu.
(Czyli wszędzie gdzie trzeba być zalogowanym, ale nie w skrypcie obsługującym logowanie)
julek12
19.08.2009, 12:10:11
Ok a to gdzie wstawić?
session_regenerate_id();
Fifi209
19.08.2009, 12:15:27
Cytat(julek12 @ 19.08.2009, 12:10:11 ) *
Ok a to gdzie wstawić?
session_regenerate_id();

Napisałem Ci dokładnie gdzie masz to wstawić. (razem z resztą obcego kodu)

WSZĘDZIE GDZIE SKRYPT WYMAGA LOGOWANIA...ale nie podczas logowania
julek12
19.08.2009, 12:17:03
ok rozumiem Cię, a reszta kodu jest już ok?
Fifi209
19.08.2009, 12:24:38
Jest prawie ok...
Wyjątki musisz łapać od PDOException jak już pisałem...

Przerób skrypt i wstaw cały.
julek12
19.08.2009, 12:32:41
Nie wiem czy działa bo mi coś się z serwerem stało, ale wyszło mi tak:

[PHP] pobierz, plaintext 
  1. <?php
  2. header('Content-Type: text/html; charset="utf-8"');
  3. session_start();
  4. ?>
  5. <<?php ?>?xml version="1.0" encoding="utf-8"?<?php ?>>
  6. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd">
  7. <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="pl">
  8. <head>
  9. <meta http-equiv="Content-Language" content="pl" />
  10. <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
  11. <meta http-equiv="Reply-To" content="julek12@tibiaserv.pl" />
  12. <title>TibiaServ.PL - Sonda</title>
  13. <meta name="verify-v1" content="OzJlYgcY2J+e78CLZ67a5VBn3nupIh+B0BCyp5crrSg=" />
  14. <meta name="keywords" content="tibia, ots, open tibia server, otserv, lua, xml, server, otfans, iots, acc maker, skrypty, php, silniki, mapy, klienty, cheaty, tutoriale, otmapeditor, lista serwerow, forum" />
  15. <meta name="description" content="Polski Support Open Tibia Serwer (OTS). Forum, download, skrypty, tutoriale, lista OTS, otserv, iots, otfans, otsy, silniki, mapy" />
  16. <meta name="Robots" content="all, index, follow" />
  17. <meta name="Author" content="Juliusz Marciniak" />
  18. </head>
  19. <body>
  20. <form method='post' action='login.php'>
  21. <b>Nazwa użytkownika:</b> <input type='text' name='nick'><br />
  22. <b>Hasło:</b> <input type='password' name='password'><br />
  23. <input type='submit' value='Wyślij' name='submit'>
  24. </form>
  25. <?php
  26. try
  27. {
  28. 	$nick = trim(strip_tags($_POST['nick']));
  29. 	$password = sha1($_POST['password'].'Ds.dAjsD3jnM32dkja343n');
  30.  
  31. 	if(isset($_SESSION['login']))
  32. 	{
  33. 		echo "Witaj, ".$_SESSION['nick']; 
  34. 	}
  35. 	else
  36. 	{
  37. 		if (isset($_POST['submit']))
  38. 		{	
  39. 			$pdo = new PDO('mysql:host=localhost;dbname=xxxx', 'xxxx', 'xxxxxxx', array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));
  40. 			$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  41. 			$sql = $pdo->prepare('SELECT `nick`, `password` FROM `admins` WHERE `nick` = :nick AND `password` = :password');
  42. 			$sql->bindValue(':nick', $nick, PDO::PARAM_STR);
  43. 			$sql->bindValue(':password', $password, PDO::PARAM_STR);
  44. 			$sql->execute();
  45. 			if ($sql->rowCount() == 1)
  46. 			{
  47. 				$_SESSION['login'] = true;
  48. 				$_SESSION['nick'] = $nick;
  49. 				echo 'Zostałeś zalogowany.';
  50. 			}
  51. 			else
  52. 			{ 
  53. 				echo "Złe hasło lub login, proszę spróbować ponownie";
  54. 			}
  55. 		}
  56. 	}
  57. }
  58. catch(PDOException $e)
  59. {
  60. 	echo 'Połączenie nie mogło zostać utworzone: '.$e->getMessage();
  61. }
  62. ?>
  63. </body>
  64. </html>
[PHP] pobierz, plaintext
Fifi209
19.08.2009, 12:36:18
Powinno działać tylko czy przy rejestracji też masz tą sól:
[PHP] pobierz, plaintext 
  1. $password = sha1($_POST['password'].'Ds.dAjsD3jnM32dkja343n');
[PHP] pobierz, plaintext

?
julek12
19.08.2009, 12:39:18
To jest logowanie tylko do konta admina:) rejestracji nie mam konto sobie robię w PMA. Piszę skrypt na sondę i logowanie do panelu admina musiałem zrobić, a z sesjami pierwszy kontakt. I tak offtop jak zrobić procenty czyli mam ileś głosów i jaki jest procent na daną odpowiedź ja wymyśliłem tak:
wszystkie_odpowiedzi / odpowiedzi_danej_opcji
100 / wynik
nospor
19.08.2009, 12:41:07
Cytat
I tak offtop jak zrobić procenty czyli mam ileś głosów i jaki jest procent na daną odpowiedź ja wymyśliłem tak:
wszystkie_odpowiedzi / odpowiedzi_danej_opcji
100 / wynik

Ale tu nie ma co wymyslac, to jest podstawa matematyki:
(ilosc/ilosc_wszystkich)*100
Fifi209
19.08.2009, 12:41:38
Zawsze wyliczasz z proporcji:

Wszystko - 100%
Coś - x%

coś * 100 / wszystko

I tym sposobem obliczysz ile % ze wszystkiego jest coś.

haha.gif
julek12
19.08.2009, 12:42:33
Aha dzięki:P
Kiedyś miałem to na matmie ale nie pamiętałem haha.gif

O ja zapomniałem o proporcji chyba dlatego, że wakacje są i nie pamiętam o szkole :|
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.