[MySQL][PHP]Włam do bazy Opcje

[AniaR]

Witam,
Strwożyłam prostą stronę z panelem administracyjnym. Właśnie dostałam wiadomość od firmy testującej ze aplikacja jest dziurawa i właśnie siedzą w moim panelu admina i mogą dowolnie modyfikować dane (podali login i hasło które faktycznie zapisałam w bazie).

Dodam ze login i hasło przechowuje w bazie w postaci jawnej (nie md5), do tego logowanie robię metoda POST. Na stronie jest tez wyszukiwarka która jak wiadomo łączy się z baza. Danych przesyłanych z formularza nie przepuszczam przez funkcje addslashes() ale czy robiąc to zapobiegłabym przed wykradzeniem z bazy loginu i hasła?

Proszę napiszcie jakie są sposoby aby porządnie zabezpieczyć prosta stronę z panelem admina aby nikt nie mógł dostać się do mojego loginu i hasła?



Ten post edytował AniaR 15.11.2010, 10:37:45

[luck]

Mądralo, przeczytaj opis obu funkcji o których mowa, bo w tym momencie sypiesz jakimiś teoriami wyssanymi z palca.
Przeczytaj dokładnie do czego służy substr - według mojej wiedzy do "przycinania"/"wycinania" odpowiedniej długości ze stringa - ni jak ma się to do sprawdzania jego długości. W momencie użycia tej funkcji w sposób jaki zaproponowałeś, nie zawiadomisz użytkownika o zbyt długim tekście, lecz przytniesz go do swojej ustalonej długości, a przy rejestracji konsekwencje mogą być dramatyczne, bo ktoś dostanie zupełnie inny nick niż zakładał.

Taa, jasne... Mów mi jeszcze (IMG:style_emoticons/default/smile.gif) Przeczytaj powoli, najlepiej kilka razy: nasza dyskusja rozpoczęła się od postu @phpion, który poruszał problem ograniczania długości poprzez maxlength, tego że jest to tylko w niewielkim stopniu skuteczne i należy do tego celu dodatkowo stosować substr po stronie serwera. Przypominam, że Ty stwierdziłeś, że do tego służy strlen, prawda? Sorry, ale jeśli nie odróżniasz słów "sprawdzać długość" od "ograniczać" to nie mamy o czym dyskutować. Cały czas piszę o ograniczeniu, tudzież przycinaniu łańcucha. Koniec z mojej strony w tym temacie.