[dyskusja] Filtrowanie hasła, czy trzeba, gdy jest kodowane w md5? Opcje

[Athlan]

Od kilku dni dręczy mnie myśl, że teoretycznie hasła, które jest kodowane na bieżąco w ten sposób, nie trzeba filtrować:

[PHP] pobierz, plaintext 
<?php
 
$password = "jakaś-wartosc-md5"; //haslo, ktore trzeba podac
 
if($_POST['pass'])
{
  if(md5($_POST['pass']) == $password)
  {
	return 1;
  }
  else
  {
	return 0;
  }
}
else
{
echo'<form action="'.$_SERVER['PHP_SELF'].'"><input type="password" name="pass"><input type="submit" value="Loguj"></form>';
}
 
?>
[PHP] pobierz, plaintext 

Moim zdaniem zmienna $_POST['pass'] nie powinna przechodzić filtrów typu htmlspecialchars(), czy addslashes(), bo po co, skoro jest porównywana w md5() i nie jest wyświetlana na stronie?

Inaczej, gdybyśmy wyświetlili tą wartość na stronie, wtedy filtry są zalecane (wymagane w sumie).

Co Wy na ten temat sądzicie?

[sf]

Gratuluje dojscia do tak wspanialnego wniosku

Przy okazji chcialbym Ci powiedziec, ze jesli uzywasz PDO to w ogole juz prawie nic nie musisz filtrowac

[dr_bonzo]

Moim zdaniem zmienna $_POST['pass'] nie powinna przechodzić filtrów typu htmlspecialchars(), czy addslashes()

Na WEJSCIU zadna zmienna nie powinna byc traktowana tymi funkcjami -- addslashes() jest nieodpowiednie przy dodawaniu danych do bazy -- uzyj mysql_real_escape czy podobnych.
htmlspecialchars -- uzywasz przy wypisywaniu danych do przegladarki (np. zeby wypisac kod html -- tak jak tutaj na forum)

Przy okazji chcialbym Ci powiedziec, ze jesli uzywasz PDO to w ogole juz prawie nic nie musisz filtrowac

$stmt->bindPAram( 'name', $value, PDO::ATTR_STR );
to chyba *jest* filtrowanie tyle ze funkcje filtrujace sa juz napisane

[Athlan]

Gratuluje dojscia do tak wspanialnego wniosku

Wszyscy mi trują że mam filtrować, no ale jak widać na powyższym przykładnie - NIE TRZEBA (chyba), ale czy to jest do złamania (przez potencjalnego hakera) jak coś namiesza ze slaschami ?

Pamiętam jak w phpBB było coś takiego w bbcode, dało się co nieco wtrzyknąć (ale nie wiem, czy ma to jakikolwiek związek z owym topickiem)

P.S. może dodam: nie odwołuje się w tym przypadku do bazy danych, tylko do zmiennej z konfigu, przy bazie danych filter byłby wskazany

Ten post edytował Athlan 18.05.2006, 10:26:02

[Vogel]

nie boj sie. tutaj nic nie wszczyknie.

[dr_bonzo]

Wszyscy mi trują że mam filtrować, no ale jak widać na powyższym przykładnie - NIE TRZEBA

No bo trzeba -- tylko nie w taki sposob jak opisales (htmlspecialhchars + addslashes).
Jest topic o SQL Injection na forum.

[Athlan]

nie boj sie. tutaj nic nie wszczyknie.

No tak... a teraz zakaładamy, że hasło jest w bazie... ewentualnie zapisujemy zle logowania i hasła, jakie użytkownik podał, używamy filtru (funkcji) mysql_real_escape() , teraz haker może nam coś zepsuć w bazie danych?

[em1X]

Wychodź z założenia, że każda linijka danych pobieranych od użytkownika jest zagrożeniem - a nie będziesz miał problemów z bezpieczeństwem...

Jak to mówią w RUPie: atakuj ryzyko, zanim ryzyko zaatakuje Ciebie

Ten post edytował em1X 18.05.2006, 16:02:25