[skrypt] prosze o opinie o skrypcie autoryzacji, Przesiadam sie z autoryzacji ciasteczkowej na sesje Opcje

[x11100b]

Witam.

Przesiadam sie z autoryzacji ciasteczkowej na sesje - mialbym prosbe do osob znajacych sie na bezpieczenstwie zeby wypowiedzieli sie o moim skrypcie:

[PHP] pobierz, plaintext 
<?php
 
	session_start(); 
 
	// inicjuje zmienne ktore beda zawieraly informacje o uzytkowniku potrzebne dla skryptow w dalszej czesci strony:
 
	$_vc_typ = 0;	// typ 0 oznacza brak autoryzacji
 
	if((!isset($_SESSION['uzytkownik'])) ||(!isset($_SESSION['md5_haslo']))) {
 
		$_SESSION['uzytkownik'] = 0;
		$_SESSION['haslo'] = 0;
 
	} else {
 
		// pobieram zmienne przechowywane w sesji:
		$haslo = $_SESSION['md5_haslo'];
		$id = $_SESSION['id'];
 
		// sprawdzam czy dane trzymane w sesji sa poprawne i pobieram login (log) i typ uzytkownika (typ):
		$sql = mysql_connect('localhost','root','');
		mysql_select_db('testowa');
		$zap = mysql_query("SELECT `log`,`typ` FROM `_vc_usr` WHERE `id`='$id' AND `has`='$haslo' LIMIT 1");
		mysql_close($sql);
 
 
		if ( mysql_num_rows($zap) == 1 ) {
 
		// jesli dane byly poprawne:
			$rek = mysql_fetch_array($zap);
			$_vc_login = $rek['log'];		// login pobieram aby powitac uzytkownika
			$_vc_typ = $rek['typ'];			// dalej, sprawdzajac wartosc zmiennej "_vc_typ" bede wiedzial co moge wyswietlic a co nie
 
		} else {
 
		// jesli byly niepoprawne:
			echo 'Sesja zawiera nieprawidlowe dane. Koniec pracy skryptu.';
			exit();
 
		}
 
	}
?>
[PHP] pobierz, plaintext 

baza z uzytkownikami tworzona jest poleceniem:

[SQL] pobierz, plaintext 
CREATE TABLE `vc_usr` (`id` INTEGER PRIMARY KEY NOT NULL AUTO_INCREMENT ,`log` VARCHAR( 30 ),`has` VARCHAR( 30 ), `typ` INTEGER ) 
[SQL] pobierz, plaintext 

Ten post edytował erix 10.09.2009, 18:03:02

Powód edycji: [erix]: przeniosłem

[bim2]

Daj sobie

[PHP] pobierz, plaintext 
$_SESSION['haslo'] = "' OR 1=1 ";
 
[PHP] pobierz, plaintext 

a login moze byc i pusty i zobacz że cię zaloguje :]