Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: [MySQL] Zmiana praw użytkowników
Forum PHP.pl > Forum > Przedszkole
questr
12.12.2010, 16:32:20
Formularz rejestracyjny na mojej stronie łączy się z bazą danych poprzez stworzone przeze mnie konto w phpmyadmin. To konto ma wyłączone wszystkie opcje jakie tylko były. Chciałbym jakoś zabezpieczyć rejestrację tak aby inni użytkownicy nie mogli podglądać innych danych niż swoje. Póki co każdy może zobaczyć ilu jest userów, jakie mają loginy i hasła zakodowane w md5. Jak mogę jakoś ukryć te dane?
lord2105
12.12.2010, 16:53:54
pokaz skrypt?
questr
12.12.2010, 17:15:01
Skrypt rejestracji:
[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3. ob_start();
  4. include "conn.inc.php";
  5. ?>
  6. <html>
  7. <head>
  8. <title>PHP5, Apache i MySQL</title>
  9. </head>
  10. <body>
  11. <?php
  12. if (isset($_POST['submit']) && $_POST['submit'] == "Zarejestruj") {
  13.   if ($_POST['username'] != "" && 
  14.       $_POST['password'] != "" && 
  15.       $_POST['first_name'] != "" && 
  16.       $_POST['last_name'] != "" && 
  17.       $_POST['email'] != "") {
  18.  
  19.     $query = "SELECT username FROM user_info " .
  20.              "WHERE username = '" . $_POST['username'] . "';";
  21.     $result = mysql_query($query) 
  22.       or die(mysql_error());
  23.  
  24.     if (mysql_num_rows($result) != 0) {
  25. ?>
  26. <p>
  27.   <font color="#FF0000"><b>Nazwa użytkownika  
  28.   <?php echo $_POST['username']; ?> jest już używana. Proszę wybrać
  29.   inną!</b></font>
  30.   <form action="register.php" method="post">
  31.     Nazwa użytkownika: <input type="text" name="username"><br>
  32.     Hasło: <input type="password" name="password" 
  33.                 value="<?php echo $_POST['password']; ?>"><br>
  34.     Adres email: <input type="text" name="email" 
  35.              value="<?php echo $_POST['email']; ?>"><br>
  36.     Imię: <input type="text" name="first_name" 
  37.                   value="<?php echo $_POST['first_name']; ?>"><br>
  38.     Nazwisko: <input type="text" name="last_name" 
  39.                  value="<?php echo $_POST['last_name']; ?>"><br>
  40.     Miasto: <input type="text" name="city" 
  41.             value="<?php echo $_POST['city']; ?>"><br>
  42.     Województwo: <input type="text" name="state" 
  43.              value="<?php echo $_POST['state']; ?>"><br><br>
  44.  
  45.     <input type="submit" name="submit" value="Zarejestruj"> &nbsp; 
  46.     <input type="reset" value="Wyczysć">
  47.   </form>
  48. </p>
  49. <?php
  50.     } else {
  51.       $query = "INSERT INTO user_info (username, password, email, " .
  52.                "first_name, last_name, city, state) " .
  53.                "VALUES ('" . $_POST['username'] . "', " .
  54.                "(PASSWORD('" . $_POST['password'] . "')), '" . 
  55.                $_POST['email'] . "', '" . $_POST['first_name'] .
  56.                "', '" . $_POST['last_name'] . "', '" . $_POST['city'] . 
  57.                "', '" . $_POST['state'] . "');";
  58.       $result = mysql_query($query) 
  59.         or die(mysql_error());
  60.       $_SESSION['user_logged'] = $_POST['username'];
  61.       $_SESSION['user_password'] = $_POST['password'];
  62. ?>
  63. <p>
  64.   Dziękujemy, <?php echo $_POST['first_name'] . " " . 
  65.   $_POST['last_name']; ?>, za zarejestrowanie się!<br>
  66. <?php
  67.       header("Refresh: 5; URL=index.php");
  68.       echo "Zakończono proces rejestracji! " .
  69.            "Zostaniesz przeniesiony do oryginalnej storny!<br>";
  70.       echo "(Jesli przeglądarka nie obsługuje przekierowań, " .
  71.            "<a href=\"index.php\">kliknij tutaj</a>)";
  72.       die();
  73.     }
  74.   } else {
  75. ?>
  76. <p>
  77.   <font color="#FF0000"><b>Wymagane jest podanie nazwy użytkownika, hasła, 
  78.   adresu email, imienia i nazwiska!</b></font>
  79.   <form action="register.php" method="post">
  80.     Nazwa użytkownika: <input type="text" name="username" 
  81.                 value="<?php echo $_POST['username']; ?>"><br>
  82.     Hasło: <input type="password" name="password" 
  83.                 value="<?php echo $_POST['password']; ?>"><br>
  84.     Adres email: <input type="text" name="email" 
  85.              value="<?php echo $_POST['email']; ?>"><br>
  86.     Imię: <input type="text" name="first_name" 
  87.                   value="<?php echo $_POST['first_name']; ?>"><br>
  88.     Nazwisko: <input type="text" name="last_name" 
  89.                  value="<?php echo $_POST['last_name']; ?>"><br>
  90.     Miasto: <input type="text" name="city" 
  91.             value="<?php echo $_POST['city']; ?>"><br>
  92.     Województwo: <input type="text" name="state" 
  93.              value="<?php echo $_POST['state']; ?>"><br>
  94.     <br>
  95.     <input type="submit" name="submit" value="Zarejestruj"> &nbsp; 
  96.     <input type="reset" value="Wyczysć">
  97.   </form>
  98. </p>
  99. <?php
  100.   }
  101. } else {
  102. ?>
  103. <p>
  104.   Witamy na stronie rejestracji!<br>
  105.   Wymagamy wypełenienia pól nazwy użytkownika, hasła, adresu email,
  106.   imienia i nazwiska!
  107.   <form action="register.php" method="post">
  108.     Nazwa użytkownika: <input type="text" name="username"><br>
  109.     Hasło: <input type="password" name="password"><br>
  110.     Adres email: <input type="text" name="email"><br>
  111.     Imię: <input type="text" name="first_name"><br>
  112.     Nazwisko: <input type="text" name="last_name"><br>
  113.     Miasto: <input type="text" name="city"><br>
  114.     Województwo: <input type="text" name="state"><br>
  115. <br>
  116.     <input type="submit" name="submit" value="Zarejestruj"> &nbsp; 
  117.     <input type="reset" value="Wyczysć">
  118.   </form>
  119. </p>
  120. <?php
  121. }
  122. ?>
  123. </body>
  124. </html>
[PHP] pobierz, plaintext



conn.inc
[PHP] pobierz, plaintext 
  1. <?php
  2. $conn = mysql_connect("localhost", "user", "haslo")
  3. 	or die(mysql_error());
  4. $db = mysql_select_db("baza")//nazwa bazy danych
  5. 	or die(mysql_error());
  6. ?>
[PHP] pobierz, plaintext

Mephistofeles
12.12.2010, 18:05:14
Cytat
Póki co każdy może zobaczyć ilu jest userów, jakie mają loginy i hasła zakodowane w md5. J

Dopuszczasz bezpośredni dostęp do bazy? Nikt tego nie zobaczy dopóki mu na to (świadomie lub nie) nie pozwolisz.
Można dla każdego tworzyć osobnego użytkownika MySQL, ale to zazwyczaj nie ma sensu i się do niczego nie przydaje.
CuteOne
12.12.2010, 18:12:16
Hee? ale w tym formularzu nie wysyłasz danych z bazy do formularza [i ogólnie do przeglądarki], więc powiedz mi w jaki sposób ktoś miałby wyświetlić dane innych użytkowników?

No chyba, że mowa o zabezpieczeniach i hackowaniu bazy... ale to już inna bajka - którą polecam przeczytać bo twój skrypt to jedna wielka dziura smile.gif
Mephistofeles
12.12.2010, 18:33:21
Skorzystaj z PDO i prepared statements, bo faktycznie nie masz żadnej ochrony przed SQL Injection.
questr
12.12.2010, 22:00:00
Do zabezpieczenia tego jeszcze długa droga, ale jeśli ktoś w pliku conn.inc ma bezpośrednio login i hasło do bazy to nie będzie mógł odczytać danych zawartych w bazie? (Wydaje mi się, że drzwi stoją przed nim otworem)
Co do SQL Injection...
Chciałem to później zrobić. Tzn. Najpierw zrobić porządek z bazą i formularzem, a następnie to zabezpieczyć. Oczywiście możecie coś zasugerować do przeczytania jak to dokładnie zrobić tak aby nie było wielu luk smile.gif
Mephistofeles
12.12.2010, 22:11:50
A niby jak ma uzyskać dostęp do tych danych? Jedynie przez błędy w skrypcie może, czyli od razu zajmij się SQL Injection.
CuteOne
13.12.2010, 11:51:56
1. Zabezpiecz zapytania używając mysql_real_escape_string() lub jak już ktoś wcześniej napisał prepared statements.
2. Wyświetlanie danych, które pośrednio pochodzą od użytkownika zabezpieczaj używając htmlspecialchars()
3. Odpowiednia konfiguracja php.ini [to zostaw na koniec winksmiley.jpg]
4. Zabezpieczenia sesji [dużo o tym na necie]
5. Zabezpieczenia przed wywołaniem plików bezpośrednio w przeglądarce [np. http://www.example.com/modules/rejestracja...acja_finish.php]

Na necie jest sporo artów opisujących różne techniki zabezpieczeń wystarczy poszukać smile.gif
questr
13.12.2010, 16:33:03
Dzięki wielkie
W takim układzie zabieram się za zabezpieczanie smile.gif
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.