 systemu zabezpieczeń |
| systemu zabezpieczeń |
Post
#1
|
|
|
Grupa: Zarejestrowani Postów: 6 Pomógł: 0 Dołączył: 10.10.2006 Skąd: Kraków Ostrzeżenie: (0%) 
 |
Jak oceniacie skuteczność nastepującego systemu zabezpieczeń:
1. Hasło w bazie kodowane poprzez MD5 2. Podczas logowania strona tworzy dwa cookies i umieszcza w sesji informację o uprawnieniach użytkownika(uprawnienia w bazie): a. user_name //no comment b. hash // nazwa użytkownika zmiksowana przez MD5 z tajnym, przypadkowym ciągiem znaków. (pozostający powyżej drzewa katalogów strony) 3. Strona weryfikuje wyświetlanie linków przeznaczonych dla admina/moderatora/użytkownika w zależności od uprawnień zapisanych w sesji. 4. A uprawnienia do działania, jak dostęp do panelu administracyjnego, usunięcie/modyfikacja posta na forum są kontrolowane na podstawie uprawnień z sesji i sprawdzenia czy cookies są prawidłowe. Efektem tego haker aby się włamać musi poznać użyty przypadkowy ciąg znaków aby ustawić właściwe cookies i przechwycić sesję. Pytanie brzmi czy to wystarczy by zniechęcić i czy widzicie lepszy sposób? ps. oczywiście zakładam że sama baza jest dobrze zabezpieczona przed iniekcją. Zmiana: Nazwa użytkownika również przechowywana w sesji. Ten post edytował Gniewomir 26.10.2006, 15:50:00 |
 |
 
|
 |
|
Post
#2
|
|
|
Grupa: Zarejestrowani Postów: 260 Pomógł: 0 Dołączył: 4.08.2005 Ostrzeżenie: (0%)
|
Cytat(Gniewomir @ 2.11.2006, 10:58:59 )  Jak oceniacie skuteczność nastepującego systemu zabezpieczeń: b. hash // nazwa użytkownika zmiksowana przez MD5 z tajnym, przypadkowym ciągiem znaków. (pozostający powyżej drzewa katalogów strony) Mogłbyś to troche rozwinąć? Jakim 'przypadkowym' ciągiem znaków? Jeżeli wygenerujesz coś 'losowego' to jak masz zamiar porównać później dwa hasze? Będziesz musiał przechowywać gdzieś jawną wersje tego 'losowego' ciągu. Jeśli tak - to gdzie masz zamiar to trzymać? |
|
|
|
|
Post
#3
|
|
|
Grupa: Zarejestrowani Postów: 6 Pomógł: 0 Dołączył: 10.10.2006 Skąd: Kraków Ostrzeżenie: (0%)
|
Ciąg losowy ale stały dla całej witryny. np '3sNU57gC89&%^&80989%^&%&'
A trzymany w dołączanym pliku powyżej katalogu wskazywanego przez domenę. Katalog dostepny z zewnątrz: C:\usr\krasnal\www\filozofia Katalog niedostępny z zewnątrz, acz dostępny dla inkludujących skryptów: C:\hash Ten post edytował Gniewomir 2.11.2006, 12:19:27 |
|
|
|
Gniewomir systemu zabezpieczeń 2.11.2006, 10:58:59 
nospor wydzielam. Topic o bezpieczenstwie skryptów, racze... 2.11.2006, 11:04:18 thornag Ja bym mzienil algorytm szyfrujacy z MD5 na SHA1 j... 2.11.2006, 11:10:18 nospor Cytatjak czytalem nie pamietam gdzie MD5 zostal zl... 2.11.2006, 11:16:32 
dr_bonzo Pisal ze "przypadkowym ciągiem znaków. (pozos... 2.11.2006, 12:14:26  |
|
Aktualny czas: 11.10.2025 - 15:31 |
