cookies a bezpieczeństwo BD, zapytania do bazy z cookiesów Opcje

[Darti]

Tak sobie pomyślałem, że w sumie tak się boję tablic $_GET i $_POST a nie pomyślałem nigdy o cookiesach!

Czy istnieje realne zagrożenie dla bazy jak zrobię?:

[PHP] pobierz, plaintext 
<?php
mysql_query(&#092;"SELECT pass FROM users WHERE \".$_COOKIE['login']);
?>
[PHP] pobierz, plaintext 

[Marusz]

Abstrachujac od samego uzycia kukizow w ten sposob (bo jakos srednio widze zastosowanie o bezpieczenstwie nie wspomne). Polecam zmienic ciut zapytanie, na:

[PHP] pobierz, plaintext 
<?php
 
$sql = &#092;"SELECT `pass` FROM `users` WHERE `cos` = \". mysql_escape_string($zmienna) .\"\";
 
?>
[PHP] pobierz, plaintext 

Wierz mi, bedziesz bezpieczniejszy...

[xarr]

Hashuj md5() dane zapisywane w cookiesach i jak post wczesniej kolega wspomnial przed porownaniem uzyj mysql_escape_string() ewentualnie mysql_real_escape_string() wtedy zagrozenia dla bazy przynajmniej w kwestii tego zapytania nie uswiadczysz. Ogolnie jednak poszukaj na tym forum info o logowaniu, sesjach i ciastkach. Dowiesz sie napewno wystarczajco duzo by byc juz pewnym co zastosowac (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[dr_bonzo]

Cookiesy mozna wysylac DOWOLNE (tak jak dane get i postaz) -- decyduje o tym user, np w operze mozsz wyedytowac wartosc cookiesa, albo wyslac telnetem.

[phpbybastek]

[PHP] pobierz, plaintext 
<?php
function filtruj_sql($input) {
	$reg = &#092;"(delete)|(update)|(union)|(insert)\";
	return(eregi_replace($reg, &#092;"\", $input));
}
 
$zmienna = $_COOKIE['zmienna'];
 
$zmienna = filtruj_sql(mysql_escape_string($zmienna));
$sql = &#092;"SELECT `pass` FROM users WHERE cos = '$zmienna'\";
?>
[PHP] pobierz, plaintext 

dla dopełnienia tematu

[Kocurro]

powiem Ci tyle - był sobie pewien skrypt (CC) na którym opeirały sie wszystkie firmy GPTR (zarabianie poprzez klikanie w maile i czytanie reklam)...i pewnego dnia pojawił się ktoś kto zauważył, że cookies można zmienić jak się podoba - efekt tego był taki, że wiele osób straciło 'dorobek życia' w tych firmach a koleś ma teraz grubą kasę...

Dam Ci dobrą radę - jeśli chcesz cokolwiek przechowywać w ciasteczkach to tylko identyfikator sesji lub pseudo sesji (pseudo sesja - taka sesja, która trwa nieskończenie długo, używana do przechowywania informacji o autolofginach itp.) inaczej sam sobie napytasz biedy.

Bo np. czasami wystarczy zmienić trochę w cookie by już uzyskać dostęp na cudze konto itp. etc. itd.

[Darti]

Dzięki (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)
będę stosował mysql_real_escape_string() tak jak mi radzicie (dla POST i GET to robilem ale dla cookies nie)

ps - Prometeus ja tak robię - w cookie mam tylko zapisany identyfikator sesji a reszte wyciagam z bazy

Ten post edytował Darti 17.03.2005, 14:04:02