[MySQL][PHP]Włam do bazy Opcje

[AniaR]

Witam,
Strwożyłam prostą stronę z panelem administracyjnym. Właśnie dostałam wiadomość od firmy testującej ze aplikacja jest dziurawa i właśnie siedzą w moim panelu admina i mogą dowolnie modyfikować dane (podali login i hasło które faktycznie zapisałam w bazie).

Dodam ze login i hasło przechowuje w bazie w postaci jawnej (nie md5), do tego logowanie robię metoda POST. Na stronie jest tez wyszukiwarka która jak wiadomo łączy się z baza. Danych przesyłanych z formularza nie przepuszczam przez funkcje addslashes() ale czy robiąc to zapobiegłabym przed wykradzeniem z bazy loginu i hasła?

Proszę napiszcie jakie są sposoby aby porządnie zabezpieczyć prosta stronę z panelem admina aby nikt nie mógł dostać się do mojego loginu i hasła?



Ten post edytował AniaR 15.11.2010, 10:37:45

[modern-web]

Ja mam jeszcze inny sposób.
Z tego co przeczytałem wnioskuję, że nie znasz się za dobrze na PHP dlatego podam Ci kilka innych metod, które w kilka sekund mogą zmniejszyć ryzyko sforsowania zabezpieczeń Twojego systemu.

1. nie używaj addslashes (bo nie do tego służy) tylko mysql_real_escape_string
2. ogranicz maksymalną ilość znaków w polu nazwy użytkownika i hasła (jeśli username nie będzie dłuższy niż 6 znaków to ustaw max na tyle ile trzeba)
3. szyfruj hasła w SHA1 lub MD5 (sugeruję to pierwsze)
4. po prostu ukryj gdzieś panel logowania dla administratora (i zablokuj dla google bot - none)
5. monitoruj logowania - będziesz wiedział, czy coś jest nie tak (IMG:style_emoticons/default/smile.gif) [użyj do tego bazy danych, zapisu IP, hosta, daty, godziny, przeglądarki, id sesji i... to chyba wystarczy] - aczkolwiek to już jest tylko dla Twojej informacji - nie zabezpieczy...

Pozdrawiam.

Ten post edytował modern-web 15.11.2010, 15:18:03

[phpion]

Z łaski swojej zobacz czego tyczy nasza dyskusja:

2. ogranicz maksymalną ilość znaków w polu nazwy użytkownika i hasła (jeśli username nie będzie dłuższy niż 6 znaków to ustaw max na tyle ile trzeba)

Kolega podał pomysł ograniczenia maksymalnej ilości znaków w polu nazwy użytkownika dodając "ustaw max na tyle ile trzeba". W tym przypadku ustaw = przytnij. To, że normalna walidacja powinna opierać się na sprawdzaniu długości wprowadzanych danych, a nie na ich skracaniu to sprawa oczywista. Jednak dyskusja toczy się w innym kontekście.