Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

 
 Reply to this topicStart new topic
> Bezpieczeństwo tego skryptu
julek12
post 19.08.2009, 11:35:45
Post #1





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

Witam,
Mam pytanie czy skrypt jest w miarę bezpieczny? To moja pierwsza przygoda z sessions więc się pytam oto skrypt:

[PHP] pobierz, plaintext 
  1. <?php
  2. header('Content-Type: text/html; charset="utf-8"');
  3. session_start();
  4. ?>
  5. <<?php ?>?xml version="1.0" encoding="utf-8"?<?php ?>>
  6. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd">
  7. <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="pl">
  8. <head>
  9. <meta http-equiv="Content-Language" content="pl" />
  10. <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
  11. <meta http-equiv="Reply-To" content="julek12@tibiaserv.pl" />
  12. <title>TibiaServ.PL - Sonda</title>
  13. <meta name="verify-v1" content="OzJlYgcY2J+e78CLZ67a5VBn3nupIh+B0BCyp5crrSg=" />
  14. <meta name="keywords" content="tibia, ots, open tibia server, otserv, lua, xml, server, otfans, iots, acc maker, skrypty, php, silniki, mapy, klienty, cheaty, tutoriale, otmapeditor, lista serwerow, forum" />
  15. <meta name="description" content="Polski Support Open Tibia Serwer (OTS). Forum, download, skrypty, tutoriale, lista OTS, otserv, iots, otfans, otsy, silniki, mapy" />
  16. <meta name="Robots" content="all, index, follow" />
  17. <meta name="Author" content="Juliusz Marciniak" />
  18. </head>
  19. <body>
  20. <form method='post' action='login.php'>
  21. <b>Nazwa użytkownika:</b> <input type='text' name='nick'><br />
  22. <b>Hasło:</b> <input type='password' name='password'><br />
  23. <input type='submit' value='Wyślij' name='submit'>
  24. </form>
  25. <?php
  26. try
  27. {
  28. 	$nick = trim(strip_tags($_POST['nick']));
  29. 	$password = md5(md5(trim(strip_tags($_POST['password']))));
  30.  
  31. 	if(isset($_SESSION['login']))
  32. 	{
  33. 		echo "Witaj, ".$_SESSION['nick']; 
  34. 	}
  35. 	else
  36. 	{
  37. 		if (isset($_POST['submit']))
  38. 		{	
  39. 			$pdo = new PDO('mysql:host=localhost;dbname=xxx', 'xxx', 'xxx', array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));
  40. 			$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  41. 			$sql = $pdo->prepare('SELECT `nick`, `password` FROM `admins` WHERE `nick` = :nick AND `password` = :password');
  42. 			$sql->bindValue(':nick', $nick, PDO::PARAM_STR);
  43. 			$sql->bindValue(':password', $password, PDO::PARAM_STR);
  44. 			$sql->execute();
  45. 			$dane = $sql->fetch(); 
  46. 			if ($dane)
  47. 			{
  48. 				session_regenerate_id();
  49. 				$_SESSION['login'] = true;
  50. 				$_SESSION['nick'] = $nick;
  51. 				$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  52. 				if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'])
  53. 				{
  54. 					die('Proba przejecia sesji udaremniona!');
  55. 				}
  56. 				echo 'Zostałeś zalogowany.';
  57. 			}
  58. 			else
  59. 			{ 
  60. 				echo "Złe hasło lub login, proszę spróbować ponownie";
  61. 			}
  62. 		}
  63. 	}
  64. }
  65. catch(Exception $e)
  66. {
  67.    echo $e->getMessage();
  68. }
  69. ?>
  70. </body>
  71. </html>
[PHP] pobierz, plaintext
Go to the top of the page
+Quote Post
erix
post 19.08.2009, 11:36:31
Post #2





Grupa: Moderatorzy
Postów: 15 467
Pomógł: 1451
Dołączył: 25.04.2005
Skąd: Szczebrzeszyn/Rzeszów
A czy Waść czytał przyklejone wątki? Audyt, to normalna usługa.


--------------------

ZCE :: Pisząc PW załączaj LINK DO TEMATU i TYLKO w sprawach moderacji :: jakiś błąd - a TREŚĆ BŁĘDU? :: nie ponaglaj z odpowiedzią via PW!
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 11:40:51
Post #3





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

Czytałem ale o sesjach nie znalazłem mógłbyś pokazać palcem?
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 11:54:37
Post #4





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
----- 

[PHP] pobierz, plaintext 
  1. $dane = $sql->fetch();
  2. if ($dane)
[PHP] pobierz, plaintext


Ja bym dał:
[PHP] pobierz, plaintext 
  1.  
  2. if ($sql->rowCount() == 1) {
  3.  
  4. }
[PHP] pobierz, plaintext


To:
[PHP] pobierz, plaintext 
  1. $_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  2. if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'])
  3. {
  4. die('Proba przejecia sesji udaremniona!');
  5. }
[PHP] pobierz, plaintext


Jest bez sensu...
Mogłeś równie dobrze napisać:
[PHP] pobierz, plaintext 
  1. if (true !== true) {
  2. // warunek nigdy nie spełniony
  3. }
[PHP] pobierz, plaintext


Mam nadzieję, że rozumiesz.

P.S. PDO nie ma własnych wyjątków?
PDOException

Ten post edytował fifi209 19.08.2009, 11:56:14


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 11:57:41
Post #5





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

to wziąłem stąd http://forum.php.pl/index.php?showtopic=30...mp;#entry455375

A tak poza tym skrypt bezpieczny?

A jak robię throw new Exception('') to mi te wyjątki z PDO chyba nie zadziałają czy się mylę?

Ten post edytował julek12 19.08.2009, 12:00:37
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 12:02:22
Post #6





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
-----

Nie, bo PDO wyrzuci Ci wyjątek kiedyś, że nie może połączyć się z bazą, jak go nie złapiesz to ktoś będzie miał Twoje dane do serwera mysql.

[PHP] pobierz, plaintext 
  1. $password = md5(md5(trim(strip_tags($_POST['password']))));
[PHP] pobierz, plaintext

Wystarczy:
[PHP] pobierz, plaintext 
  1. $password = md5($_POST['password']);
[PHP] pobierz, plaintext


Double md5 nie ma sensu, było o tym na forum. Poza tym lepiej używać sha1.

A przed kradzieżą sesji ten skrypt Cię nie zabezpiecza. winksmiley.jpg


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
nospor
post 19.08.2009, 12:03:58
Post #7





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
Cytat
to wziąłem stąd
Przeciez wziales tylko czesc stamtad i powycianales losowo pare linijek i myslisz ze bedzie to samo blinksmiley.gif przeciez tą wycinka zmieniles zupelnie zasade dzialania tamtego kodu.


--------------------

"Myśl, myśl, myśl..." - Kubuś Puchatek || "Manual, manual, manual..." - Kubuś Programista
"Szukaj, szukaj, szukaj..." - Kubuś Odkrywca || "Debuguj, debuguj, debuguj..." - Kubuś Developer
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 12:05:04
Post #8





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

a co zrobić żeby zabezpieczał?
Go to the top of the page
+Quote Post
nospor
post 19.08.2009, 12:06:13
Post #9





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
musisz poprawnie skopiowac tamten kod, z ktorego wyciales wiekszosc linijek tongue.gif


--------------------

"Myśl, myśl, myśl..." - Kubuś Puchatek || "Manual, manual, manual..." - Kubuś Programista
"Szukaj, szukaj, szukaj..." - Kubuś Odkrywca || "Debuguj, debuguj, debuguj..." - Kubuś Developer
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 12:06:43
Post #10





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
-----

Cytat(julek12 @ 19.08.2009, 12:05:04 ) *
a co zrobić żeby zabezpieczał?

Wstawić kod, który zabrałeś z innego tematu w odpowiednim miejscu.
(Czyli wszędzie gdzie trzeba być zalogowanym, ale nie w skrypcie obsługującym logowanie)


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 12:10:11
Post #11





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

Ok a to gdzie wstawić?
session_regenerate_id();
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 12:15:27
Post #12





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
-----

Cytat(julek12 @ 19.08.2009, 12:10:11 ) *
Ok a to gdzie wstawić?
session_regenerate_id();

Napisałem Ci dokładnie gdzie masz to wstawić. (razem z resztą obcego kodu)

WSZĘDZIE GDZIE SKRYPT WYMAGA LOGOWANIA...ale nie podczas logowania


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 12:17:03
Post #13





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

ok rozumiem Cię, a reszta kodu jest już ok?
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 12:24:38
Post #14





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
-----

Jest prawie ok...
Wyjątki musisz łapać od PDOException jak już pisałem...

Przerób skrypt i wstaw cały.

Ten post edytował fifi209 19.08.2009, 12:24:52


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 12:32:41
Post #15





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

Nie wiem czy działa bo mi coś się z serwerem stało, ale wyszło mi tak:

[PHP] pobierz, plaintext 
  1. <?php
  2. header('Content-Type: text/html; charset="utf-8"');
  3. session_start();
  4. ?>
  5. <<?php ?>?xml version="1.0" encoding="utf-8"?<?php ?>>
  6. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd">
  7. <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="pl">
  8. <head>
  9. <meta http-equiv="Content-Language" content="pl" />
  10. <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
  11. <meta http-equiv="Reply-To" content="julek12@tibiaserv.pl" />
  12. <title>TibiaServ.PL - Sonda</title>
  13. <meta name="verify-v1" content="OzJlYgcY2J+e78CLZ67a5VBn3nupIh+B0BCyp5crrSg=" />
  14. <meta name="keywords" content="tibia, ots, open tibia server, otserv, lua, xml, server, otfans, iots, acc maker, skrypty, php, silniki, mapy, klienty, cheaty, tutoriale, otmapeditor, lista serwerow, forum" />
  15. <meta name="description" content="Polski Support Open Tibia Serwer (OTS). Forum, download, skrypty, tutoriale, lista OTS, otserv, iots, otfans, otsy, silniki, mapy" />
  16. <meta name="Robots" content="all, index, follow" />
  17. <meta name="Author" content="Juliusz Marciniak" />
  18. </head>
  19. <body>
  20. <form method='post' action='login.php'>
  21. <b>Nazwa użytkownika:</b> <input type='text' name='nick'><br />
  22. <b>Hasło:</b> <input type='password' name='password'><br />
  23. <input type='submit' value='Wyślij' name='submit'>
  24. </form>
  25. <?php
  26. try
  27. {
  28. 	$nick = trim(strip_tags($_POST['nick']));
  29. 	$password = sha1($_POST['password'].'Ds.dAjsD3jnM32dkja343n');
  30.  
  31. 	if(isset($_SESSION['login']))
  32. 	{
  33. 		echo "Witaj, ".$_SESSION['nick']; 
  34. 	}
  35. 	else
  36. 	{
  37. 		if (isset($_POST['submit']))
  38. 		{	
  39. 			$pdo = new PDO('mysql:host=localhost;dbname=xxxx', 'xxxx', 'xxxxxxx', array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));
  40. 			$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  41. 			$sql = $pdo->prepare('SELECT `nick`, `password` FROM `admins` WHERE `nick` = :nick AND `password` = :password');
  42. 			$sql->bindValue(':nick', $nick, PDO::PARAM_STR);
  43. 			$sql->bindValue(':password', $password, PDO::PARAM_STR);
  44. 			$sql->execute();
  45. 			if ($sql->rowCount() == 1)
  46. 			{
  47. 				$_SESSION['login'] = true;
  48. 				$_SESSION['nick'] = $nick;
  49. 				echo 'Zostałeś zalogowany.';
  50. 			}
  51. 			else
  52. 			{ 
  53. 				echo "Złe hasło lub login, proszę spróbować ponownie";
  54. 			}
  55. 		}
  56. 	}
  57. }
  58. catch(PDOException $e)
  59. {
  60. 	echo 'Połączenie nie mogło zostać utworzone: '.$e->getMessage();
  61. }
  62. ?>
  63. </body>
  64. </html>
[PHP] pobierz, plaintext


Ten post edytował julek12 19.08.2009, 12:35:18
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 12:36:18
Post #16





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
-----

Powinno działać tylko czy przy rejestracji też masz tą sól:
[PHP] pobierz, plaintext 
  1. $password = sha1($_POST['password'].'Ds.dAjsD3jnM32dkja343n');
[PHP] pobierz, plaintext

?


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 12:39:18
Post #17





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

To jest logowanie tylko do konta admina:) rejestracji nie mam konto sobie robię w PMA. Piszę skrypt na sondę i logowanie do panelu admina musiałem zrobić, a z sesjami pierwszy kontakt. I tak offtop jak zrobić procenty czyli mam ileś głosów i jaki jest procent na daną odpowiedź ja wymyśliłem tak:
wszystkie_odpowiedzi / odpowiedzi_danej_opcji
100 / wynik
Go to the top of the page
+Quote Post
nospor
post 19.08.2009, 12:41:07
Post #18





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
Cytat
I tak offtop jak zrobić procenty czyli mam ileś głosów i jaki jest procent na daną odpowiedź ja wymyśliłem tak:
wszystkie_odpowiedzi / odpowiedzi_danej_opcji
100 / wynik

Ale tu nie ma co wymyslac, to jest podstawa matematyki:
(ilosc/ilosc_wszystkich)*100


--------------------

"Myśl, myśl, myśl..." - Kubuś Puchatek || "Manual, manual, manual..." - Kubuś Programista
"Szukaj, szukaj, szukaj..." - Kubuś Odkrywca || "Debuguj, debuguj, debuguj..." - Kubuś Developer
Go to the top of the page
+Quote Post
Fifi209
post 19.08.2009, 12:41:38
Post #19





Grupa: Zarejestrowani
Postów: 4 655
Pomógł: 556
Dołączył: 17.03.2009
Skąd: Katowice

Ostrzeżenie: (0%)
-----

Zawsze wyliczasz z proporcji:

Wszystko - 100%
Coś - x%

coś * 100 / wszystko

I tym sposobem obliczysz ile % ze wszystkiego jest coś.

haha.gif


--------------------
Zainteresowania: C#, PHP, JS, SQL, AJAX, XML, C dla AVR
Chętnie pomogę, lecz zanim napiszesz: Wujek Google , Manual PHP
Go to the top of the page
+Quote Post
julek12
post 19.08.2009, 12:42:33
Post #20





Grupa: Zarejestrowani
Postów: 97
Pomógł: 5
Dołączył: 6.02.2009
Skąd: Gorzów Wlkp.

Ostrzeżenie: (0%)
-----

Aha dzięki:P
Kiedyś miałem to na matmie ale nie pamiętałem haha.gif

O ja zapomniałem o proporcji chyba dlatego, że wakacje są i nie pamiętam o szkole :|

Ten post edytował julek12 19.08.2009, 12:43:41
Go to the top of the page
+Quote Post
« Następny starszy · Przedszkole · Następny nowszy »
 

Reply to this topicStart new topic
1 Użytkowników czyta ten temat (1 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Standardowy · Przełącz na: Linearny+ · Przełącz na: Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Wersja Lo-Fi Aktualny czas: 14.08.2025 - 05:27
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn