Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [MySQL] Zmiana praw użytkowników
questr
post 12.12.2010, 16:32:20
Post #1





Grupa: Zarejestrowani
Postów: 6
Pomógł: 0
Dołączył: 7.04.2010

Ostrzeżenie: (0%)
-----

Formularz rejestracyjny na mojej stronie łączy się z bazą danych poprzez stworzone przeze mnie konto w phpmyadmin. To konto ma wyłączone wszystkie opcje jakie tylko były. Chciałbym jakoś zabezpieczyć rejestrację tak aby inni użytkownicy nie mogli podglądać innych danych niż swoje. Póki co każdy może zobaczyć ilu jest userów, jakie mają loginy i hasła zakodowane w md5. Jak mogę jakoś ukryć te dane?
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi (1 - 9)
lord2105
post 12.12.2010, 16:53:54
Post #2





Grupa: Zarejestrowani
Postów: 380
Pomógł: 59
Dołączył: 24.04.2010
Skąd: London

Ostrzeżenie: (0%)
-----

pokaz skrypt?


--------------------
40% rozwiązań znajduje się tutaj.
59,9% tutaj.

Jeśli pomogłem rozwiązać Twój problem wciśnij
Go to the top of the page
+Quote Post
questr
post 12.12.2010, 17:15:01
Post #3





Grupa: Zarejestrowani
Postów: 6
Pomógł: 0
Dołączył: 7.04.2010

Ostrzeżenie: (0%)
-----

Skrypt rejestracji:
[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3. ob_start();
  4. include "conn.inc.php";
  5. ?>
  6. <html>
  7. <head>
  8. <title>PHP5, Apache i MySQL</title>
  9. </head>
  10. <body>
  11. <?php
  12. if (isset($_POST['submit']) && $_POST['submit'] == "Zarejestruj") {
  13.   if ($_POST['username'] != "" && 
  14.       $_POST['password'] != "" && 
  15.       $_POST['first_name'] != "" && 
  16.       $_POST['last_name'] != "" && 
  17.       $_POST['email'] != "") {
  18.  
  19.     $query = "SELECT username FROM user_info " .
  20.              "WHERE username = '" . $_POST['username'] . "';";
  21.     $result = mysql_query($query) 
  22.       or die(mysql_error());
  23.  
  24.     if (mysql_num_rows($result) != 0) {
  25. ?>
  26. <p>
  27.   <font color="#FF0000"><b>Nazwa użytkownika  
  28.   <?php echo $_POST['username']; ?> jest już używana. Proszę wybrać
  29.   inną!</b></font>
  30.   <form action="register.php" method="post">
  31.     Nazwa użytkownika: <input type="text" name="username"><br>
  32.     Hasło: <input type="password" name="password" 
  33.                 value="<?php echo $_POST['password']; ?>"><br>
  34.     Adres email: <input type="text" name="email" 
  35.              value="<?php echo $_POST['email']; ?>"><br>
  36.     Imię: <input type="text" name="first_name" 
  37.                   value="<?php echo $_POST['first_name']; ?>"><br>
  38.     Nazwisko: <input type="text" name="last_name" 
  39.                  value="<?php echo $_POST['last_name']; ?>"><br>
  40.     Miasto: <input type="text" name="city" 
  41.             value="<?php echo $_POST['city']; ?>"><br>
  42.     Województwo: <input type="text" name="state" 
  43.              value="<?php echo $_POST['state']; ?>"><br><br>
  44.  
  45.     <input type="submit" name="submit" value="Zarejestruj"> &nbsp; 
  46.     <input type="reset" value="Wyczysć">
  47.   </form>
  48. </p>
  49. <?php
  50.     } else {
  51.       $query = "INSERT INTO user_info (username, password, email, " .
  52.                "first_name, last_name, city, state) " .
  53.                "VALUES ('" . $_POST['username'] . "', " .
  54.                "(PASSWORD('" . $_POST['password'] . "')), '" . 
  55.                $_POST['email'] . "', '" . $_POST['first_name'] .
  56.                "', '" . $_POST['last_name'] . "', '" . $_POST['city'] . 
  57.                "', '" . $_POST['state'] . "');";
  58.       $result = mysql_query($query) 
  59.         or die(mysql_error());
  60.       $_SESSION['user_logged'] = $_POST['username'];
  61.       $_SESSION['user_password'] = $_POST['password'];
  62. ?>
  63. <p>
  64.   Dziękujemy, <?php echo $_POST['first_name'] . " " . 
  65.   $_POST['last_name']; ?>, za zarejestrowanie się!<br>
  66. <?php
  67.       header("Refresh: 5; URL=index.php");
  68.       echo "Zakończono proces rejestracji! " .
  69.            "Zostaniesz przeniesiony do oryginalnej storny!<br>";
  70.       echo "(Jesli przeglądarka nie obsługuje przekierowań, " .
  71.            "<a href=\"index.php\">kliknij tutaj</a>)";
  72.       die();
  73.     }
  74.   } else {
  75. ?>
  76. <p>
  77.   <font color="#FF0000"><b>Wymagane jest podanie nazwy użytkownika, hasła, 
  78.   adresu email, imienia i nazwiska!</b></font>
  79.   <form action="register.php" method="post">
  80.     Nazwa użytkownika: <input type="text" name="username" 
  81.                 value="<?php echo $_POST['username']; ?>"><br>
  82.     Hasło: <input type="password" name="password" 
  83.                 value="<?php echo $_POST['password']; ?>"><br>
  84.     Adres email: <input type="text" name="email" 
  85.              value="<?php echo $_POST['email']; ?>"><br>
  86.     Imię: <input type="text" name="first_name" 
  87.                   value="<?php echo $_POST['first_name']; ?>"><br>
  88.     Nazwisko: <input type="text" name="last_name" 
  89.                  value="<?php echo $_POST['last_name']; ?>"><br>
  90.     Miasto: <input type="text" name="city" 
  91.             value="<?php echo $_POST['city']; ?>"><br>
  92.     Województwo: <input type="text" name="state" 
  93.              value="<?php echo $_POST['state']; ?>"><br>
  94.     <br>
  95.     <input type="submit" name="submit" value="Zarejestruj"> &nbsp; 
  96.     <input type="reset" value="Wyczysć">
  97.   </form>
  98. </p>
  99. <?php
  100.   }
  101. } else {
  102. ?>
  103. <p>
  104.   Witamy na stronie rejestracji!<br>
  105.   Wymagamy wypełenienia pól nazwy użytkownika, hasła, adresu email,
  106.   imienia i nazwiska!
  107.   <form action="register.php" method="post">
  108.     Nazwa użytkownika: <input type="text" name="username"><br>
  109.     Hasło: <input type="password" name="password"><br>
  110.     Adres email: <input type="text" name="email"><br>
  111.     Imię: <input type="text" name="first_name"><br>
  112.     Nazwisko: <input type="text" name="last_name"><br>
  113.     Miasto: <input type="text" name="city"><br>
  114.     Województwo: <input type="text" name="state"><br>
  115. <br>
  116.     <input type="submit" name="submit" value="Zarejestruj"> &nbsp; 
  117.     <input type="reset" value="Wyczysć">
  118.   </form>
  119. </p>
  120. <?php
  121. }
  122. ?>
  123. </body>
  124. </html>
[PHP] pobierz, plaintext



conn.inc
[PHP] pobierz, plaintext 
  1. <?php
  2. $conn = mysql_connect("localhost", "user", "haslo")
  3. 	or die(mysql_error());
  4. $db = mysql_select_db("baza")//nazwa bazy danych
  5. 	or die(mysql_error());
  6. ?>
[PHP] pobierz, plaintext

Go to the top of the page
+Quote Post
Mephistofeles
post 12.12.2010, 18:05:14
Post #4





Grupa: Zarejestrowani
Postów: 1 182
Pomógł: 115
Dołączył: 4.03.2009
Skąd: Myszków

Ostrzeżenie: (0%)
-----

Cytat
Póki co każdy może zobaczyć ilu jest userów, jakie mają loginy i hasła zakodowane w md5. J

Dopuszczasz bezpośredni dostęp do bazy? Nikt tego nie zobaczy dopóki mu na to (świadomie lub nie) nie pozwolisz.
Można dla każdego tworzyć osobnego użytkownika MySQL, ale to zazwyczaj nie ma sensu i się do niczego nie przydaje.
Go to the top of the page
+Quote Post
CuteOne
post 12.12.2010, 18:12:16
Post #5





Grupa: Zarejestrowani
Postów: 2 958
Pomógł: 574
Dołączył: 23.09.2008
Skąd: wiesz, że tu jestem?

Ostrzeżenie: (0%)
-----

Hee? ale w tym formularzu nie wysyłasz danych z bazy do formularza [i ogólnie do przeglądarki], więc powiedz mi w jaki sposób ktoś miałby wyświetlić dane innych użytkowników?

No chyba, że mowa o zabezpieczeniach i hackowaniu bazy... ale to już inna bajka - którą polecam przeczytać bo twój skrypt to jedna wielka dziura smile.gif
Go to the top of the page
+Quote Post
Mephistofeles
post 12.12.2010, 18:33:21
Post #6





Grupa: Zarejestrowani
Postów: 1 182
Pomógł: 115
Dołączył: 4.03.2009
Skąd: Myszków

Ostrzeżenie: (0%)
-----

Skorzystaj z PDO i prepared statements, bo faktycznie nie masz żadnej ochrony przed SQL Injection.
Go to the top of the page
+Quote Post
questr
post 12.12.2010, 22:00:00
Post #7





Grupa: Zarejestrowani
Postów: 6
Pomógł: 0
Dołączył: 7.04.2010

Ostrzeżenie: (0%)
-----

Do zabezpieczenia tego jeszcze długa droga, ale jeśli ktoś w pliku conn.inc ma bezpośrednio login i hasło do bazy to nie będzie mógł odczytać danych zawartych w bazie? (Wydaje mi się, że drzwi stoją przed nim otworem)
Co do SQL Injection...
Chciałem to później zrobić. Tzn. Najpierw zrobić porządek z bazą i formularzem, a następnie to zabezpieczyć. Oczywiście możecie coś zasugerować do przeczytania jak to dokładnie zrobić tak aby nie było wielu luk smile.gif
Go to the top of the page
+Quote Post
Mephistofeles
post 12.12.2010, 22:11:50
Post #8





Grupa: Zarejestrowani
Postów: 1 182
Pomógł: 115
Dołączył: 4.03.2009
Skąd: Myszków

Ostrzeżenie: (0%)
-----

A niby jak ma uzyskać dostęp do tych danych? Jedynie przez błędy w skrypcie może, czyli od razu zajmij się SQL Injection.
Go to the top of the page
+Quote Post
CuteOne
post 13.12.2010, 11:51:56
Post #9





Grupa: Zarejestrowani
Postów: 2 958
Pomógł: 574
Dołączył: 23.09.2008
Skąd: wiesz, że tu jestem?

Ostrzeżenie: (0%)
-----

1. Zabezpiecz zapytania używając mysql_real_escape_string() lub jak już ktoś wcześniej napisał prepared statements.
2. Wyświetlanie danych, które pośrednio pochodzą od użytkownika zabezpieczaj używając htmlspecialchars()
3. Odpowiednia konfiguracja php.ini [to zostaw na koniec winksmiley.jpg]
4. Zabezpieczenia sesji [dużo o tym na necie]
5. Zabezpieczenia przed wywołaniem plików bezpośrednio w przeglądarce [np. http://www.example.com/modules/rejestracja...acja_finish.php]

Na necie jest sporo artów opisujących różne techniki zabezpieczeń wystarczy poszukać smile.gif
Go to the top of the page
+Quote Post
questr
post 13.12.2010, 16:33:03
Post #10





Grupa: Zarejestrowani
Postów: 6
Pomógł: 0
Dołączył: 7.04.2010

Ostrzeżenie: (0%)
-----

Dzięki wielkie
W takim układzie zabieram się za zabezpieczanie smile.gif
Go to the top of the page
+Quote Post
« Następny starszy · Przedszkole · Następny nowszy »
 

Reply to this topicStart new topic
1 Użytkowników czyta ten temat (1 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Linearny+ · Przełącz na: Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Wersja Lo-Fi Aktualny czas: 14.08.2025 - 02:27
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn