Wczoraj ktoś włamał się na mój blog i podmienił temat ostatniej notki (prawa pliku 644). Zastanawiam się jak to się stało. Administrator serwera stwierdził, że błąd leży jedynie w oskryptowaniu. Kawałek logów apacha


To prawda, tak właśnie edytuję i usuwam notki ^^. Zmianie uległa właśnie notka do której dosał się POSTem. Jest tylko jedno ale - w pliku admin php mam coś takiego:

[PHP] pobierz, plaintext 
<?php
// Sprawdzanie, czy użytkownik jest zalogowany:
if($_SESSION['zalogowany'] == true)
{
	 // Wyświetlenie części administracyjnej.
	 (...)
 }
 else 
 {
	 // Wyświetlenie formularza do zalogowania.
	 (...)
 }
?>
[PHP] pobierz, plaintext 

$_SESSION['zalogowany'] ustawione jest na true, jeżeli do formularza z logowaniem wpisze się taki login i hasło jakie jest w pliku config.php.

Czyli wysyłając żądanie musiał mieć ustawioną wartość $_SESSION['zalogowany'] na true, jak to zrobił i skąd akurat wiedział że taka zmienna a nie np. $_SESSION['auth']? Albo też źle myślę i zrobił to w inny sposób.

A może sprawdzenie jednej zmiennej sesji to za mało? Co doradzacie? Jak Wy rozwiązujecie logowanie i zabezpieczenia?

Proszę o pomoc, nie chce aby ten problem pojawił się następnym razem.