Forum PHP.pl > [php] logowanie

Pomoc - Szukaj - Użytkownicy - Kalendarz

krzysiek_raven

29.08.2008, 13:49:39

Witam.
Chcę się was zapytać czy taki sposób logowania do panelu administracyjnego jest dość bezpieczny.

Plik logHas.php w którym zawarty jest login i hasło zakodowane md5():

[PHP] pobierz, plaintext 
<?php
$login = "admin"; $haslo = "fee8b18874c4fef6c46e4d28c4866c9f";
?>
[PHP] pobierz, plaintext

Plik login.php o następującej zawartości (włączany jest do niego plik logHas.php):

[PHP] pobierz, plaintext 
<?php
include('include/logHas.php');
 
function formularz()
{
		echo('
		<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
		<html>
		<head>
		<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2">
		</head>
		<body>
		<center><FORM ACTION="login.php" METHOD="post">
					 Wpisz login i hasło<br />
					 Login: <INPUT TYPE="tekst" NAME="log"><br />
					 Hasło: <INPUT type="password" NAME="has"><br />
					 <input type="submit" value="zaloguj">
			  </FORM><br>
		 </body>
		 </html>');
}
function sprawdz($l, $h, $login, $haslo)
{
		 if ($l == $login && md5($h) == $haslo){
			return TRUE;
		 }
		 else return FALSE;
}
 
 
// -- MAIN --
 
$l = $_POST['log'];
$h = $_POST['has'];
 
if (sprawdz($l, $h, $login, $haslo)){
 
   // -- obsługa sesji --
	  session_start();
 
   if (!isset($_SESSION['id'])){
	  session_regenerate_id();
	  $_SESSION['id'] = $login;
	  header("Location: index.php?" . SID);
   }
   
}
else if ($l != '' || $h != ''){
	 echo('<center>Hasło lub login niepawidłowe</center><br>');
	 formularz();
}
else formularz();
?>
[PHP] pobierz, plaintext

Przy każdym pliku który ma być zabezpieczony wklejam następujący kod:

[PHP] pobierz, plaintext 
<?php
session_start();
	if (!isset($_SESSION["id"])){
		header("Location: ../login.php?" . SID);
		exit();
	}
	else{
...
}
?>
[PHP] pobierz, plaintext

Jest to pewnie jeden z najprostszych sposobów zabezpieczenia, ale czy da się go łatwo obejść? Jeśli tak to co zmienić żeby było lepiej?

bliitz

29.08.2008, 14:08:55

możesz zmienić kodowanie hasła z md5 na bezpieczniejsze sha1, i dlaczego trzymasz login i hasło w pliku a nie w bazie?

krzysiek_raven

29.08.2008, 15:11:08

Nie chciałem tworzyć tabeli w bazie specjalnie dla jednego loginu i hasła. A czy jest jakiś sposób na wyciągnięcie danych z takiego pliku? Wartości zmiennych są zawarte w znacznikach <?php ?> to nawet jak by ktoś chciał wywołać ten plik to i tak nic by nie zobaczył

Edit:

Chociaż wpadł mi taki pomysł teraz że ktoś by mógł ten pliczek podmienić na inny ze swoim loginem i hasłem, ale to chyba musiał by mieć dostęp do FTP żeby cokolwiek zrobić?

kemot

29.08.2008, 17:55:29

Możesz jeszcze stworzyć tablice ze znakami, które będą usuwane z wpisanego loginu tak by nikt nie wpisał w to okienko kodu, który mógłby zakłucić działanie skryptu. Robi się to mniej więcej tak:

[PHP] pobierz, plaintext 
<?php
 
//tworzymy tablice $zakazaneznaki, możesz do niej wpisać do niej jakie tylko chcesz znaki 
//(wystarczy usunąć podstawowe operatory)
 
$zakazaneznaki =  array( '^', ''', '"', '`', '~', '+', '=', '<', '>', '$', '!', '@', 
'#', '%', '&', '*', '(', ')', '_', '-', '[', ']', '{', '}', '/', '|', '', '?', ';', ':', ',', '.' );
 
$log = str_replace( $zakazaneznaki, ', $log );
 
//str_replace usuwa znaki znajdujace sie w tablicy z loginu
//bez tych znaków żaden złośliwiec nie wykona zapytania do bazy danych, ani nie wprowadzi jakiegos 
//destrukcyjnego kodu php, istnieja do tego też wbudowane funkcje takie jak 
//mysql_escape_string(), htmlspecialchars() itd. ale w ten sposób możemy dokładnie zdefiniowac co chcemy usunąć 
 
?>
[PHP] pobierz, plaintext

Nie wiem tylko po co się męczysz z formularzem w funkcji. Myśle że lepiej by go było zapisać jako oddzielny plik html i potem zincludować

TrevorGryffits

29.08.2008, 18:14:11

@kemot - nie widzę powodu. Biorąc pod uwagę tylko podany kod. Przesłane login i hasło nie są nigdzie wyświetlane, ani używane do zapytań.

kemot

29.08.2008, 18:57:06

Niby nie ale warto to wiedziec gdyby jednak krzysiek zdecydował się na baze danych

krzysiek_raven

29.08.2008, 19:15:55

Ok, dzięki. Dodałem tą funkcję usuwająca znaki.
Czyli można powiedzieć że sam sposób logowania jest mniej więcej bezpieczny.

Domyślam się że najsłabszym ogniwem może być tu użytkownik, który nie wylogował się z panelu lub w jakiś sposób ktoś zdobył jego identyfikator sesji, ale chodziło mi głównie o samo logowanie.

Formularz dałem w funkcji bo wolę mieć wszystko w jednym pliku;)

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.