[MySQL][PHP]Zabezpieczenie panelu administratora, Wystarczająco? Opcje

[TimeMaster]

Witam.
Tworzę małą portalopodobną stronę, na której jest możliwość rejestracji, dodawania contentu itd. Dla wygody zarządzania zrobiłem panel admina.
W bazie użytkownik ma kolumnę 'id_rangi' (ranga admina to 0). Przy logowaniu pobieram do $_session id_rangi i na stronach panelu sprawdzam:

[PHP] pobierz, plaintext 
if ($_SESSION['id_rangi'] !== 0) {
		header("Location: ../");
	} else { ....
[PHP] pobierz, plaintext 

Sesje zabezpieczyłem funkcją:

[PHP] pobierz, plaintext 
function session() {
	session_start();
	if (!isset($_SESSION['init']))
	{
		session_regenerate_id();
		$_SESSION['init'] = true;
		$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
	}
 
	if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'])
	{
		die('Coś jest nie tak!!');
		logout();
	}
}
[PHP] pobierz, plaintext 

Chodzi głównie o to, by dane użytkowników (Imię, Nazwisko, Nr. telefonu, Adres) nie dostały się w niepowołane ręce.
Czy poza ustawieniem prawidłowo praw do plików i powyższymi 'zabezpieczeniami' można coś jeszcze zastosować, by ukrócić starania wścibskiego użytkownika z Kali Linux? (IMG:style_emoticons/default/smile.gif)

Ten post edytował TimeMaster 26.03.2019, 16:50:18

[dublinka]

Drugie zabezpieczenie jest przed linkiem z PHPSESSID

Obawiam sie ze Cie nie rozumiem.
W tamtym przkadzie sprawdzasz jakas sesje a czym ona jest to tylko ty wiesz. Nastepnie masz kolejna sesje z ip i sprawdzasz ja ze zmienna globalna SERVER i jesli da rozne to wysw odpowiedni komunikat.
Jedyne co robisz to regenerujesz id sesji ale to zadne zabezpieczenie. Skup sie na zapytaniach do bazy bo tym moze ktos se dostac do detali.

Jesli chodzi o SQL injection to jak korzystasz z mysqli to korzystaj z mysqli, bind_param i prepare. Pamiętaj jeszcze o o atakach XSS.

https://php.net/manual/en/mysqli.prepare.php

Jesli nie chcesz aby ktos Ci narobil balaganu to najprostszym rozwiazaniem jest trzymanie waznych plikow poza folderem "public_html" ; umiesc te pliki w jakims jeszcze jednym kat i daj go wyzej w hierarchii (wyjdz z kat public_html) a same pliki includnij.

Ten post edytował dublinka 27.03.2019, 07:59:41