[MySQL][PHP]Włam do bazy Opcje

[AniaR]

Witam,
Strwożyłam prostą stronę z panelem administracyjnym. Właśnie dostałam wiadomość od firmy testującej ze aplikacja jest dziurawa i właśnie siedzą w moim panelu admina i mogą dowolnie modyfikować dane (podali login i hasło które faktycznie zapisałam w bazie).

Dodam ze login i hasło przechowuje w bazie w postaci jawnej (nie md5), do tego logowanie robię metoda POST. Na stronie jest tez wyszukiwarka która jak wiadomo łączy się z baza. Danych przesyłanych z formularza nie przepuszczam przez funkcje addslashes() ale czy robiąc to zapobiegłabym przed wykradzeniem z bazy loginu i hasła?

Proszę napiszcie jakie są sposoby aby porządnie zabezpieczyć prosta stronę z panelem admina aby nikt nie mógł dostać się do mojego loginu i hasła?



Ten post edytował AniaR 15.11.2010, 10:37:45

[modern-web]

To chyba oczywiste, że po stronie klienta można zmienić niemalże wszystko. Wystarczy 5min w google i znajdzie się masę rozwiązań.
Aczkolwiek nie zgadzam się z Tobą w 100%. Są bardziej i mniej zaawansowani (początkujący) hakerzy, którzy nawet tego typu zabezpieczenia (choć trudno go tak nazwać) przez "maxlength" nie potrafią ominąć.
Wszystko zależy od tego kogo się spodziewamy (IMG:style_emoticons/default/winksmiley.jpg)
Dużo pracy w to nie włożysz, a czasem może uratować...

[rzymek01]

Dużo pracy w to nie włożysz, a czasem może uratować...

załózmy, że mamy taką sytuacje:
- system jest odporny na ataki zaawansowanych hakerów
i teraz wynika z Twojego postu, że pisząc dodatkową walidację po stronie klienta typu ograniczenia długości loginu "czasem może mnie uratowac". Przed czym moze mnie uratowac, jesli zgodnie z założeniem mamy system odporny na ataki.

Rozumiem walidację po stronie klienta jako ułatwienie dla klienta wypisywania formularzy, przykład:
w polu daty urodzenia podał 32-20-9000 no to od razu obok pola jakiś krzerwony krzyżyk, informacja, że pole jest błędnie wypełione, żeby od razu zobaczył gdzie ma bląd, a nie potem szukał po wysłaniu zgodnie z wyswietlonym mu komunikatem "cos jest źle, przejrzył cały formularz jeszcze raz, zastanów sie, gdzie popełniłes bład, powodzenia w szukaniu"

Wszystko zależy od tego kogo się spodziewamy

Aha, czyli jeszcze pisząc aplikację mam tworzyć rozne systemu zabezpieczen:
1. jesli klient jest potencjalnym hakerem o małej wiedzy, to daj tylko maxlength
2. jesli klient jest potencjalnym klientem o dużej wiedzy, to filtruj pakiety już w routerze, bo jeszcze wirusa prześle na serwer ...

System zabezpieczeń powinien być uniwersalny, ale również minimalistyczny i optymalny, czyli taki aby nie powodował dodatkowych trudności u klienta jak i nie wykorzystywał na daremno mocy obliczeniowej komputera,
przykład:
$super_haslo = sha1(sha1(sha1(sha1( ... sha1( $login ) ... ))));
(IMG:style_emoticons/default/haha.gif)