[php] Cookie -> zmiana wartosci przez usera, Jak się tego wystrzegać, jak to zablokowac. Opcje

[entine]

Pytam. Mam takie nurtujące mnie pytanie.
Mianowicie jak sprawdzacie, czy użytkownik strony nie zmienił sobie wartości w ciasteczku ($_COOKIE).

Ja kiedyś robiłem to w bardzo prosty, lecz mało profesjonalny sposób. Przykład z logowania:
Użytkownik loguje się, zapisuje mu się ciasteczko login i id oraz md5(base_64decode(pass)). Później za każdym przeładowaniem strony skrypt sprawdzał, czy są takie dane w bazie danych, mniej więcej tak:

[SQL] pobierz, plaintext 
SELECT * FROM Logowanie WHERE login=$login AND haslo=$haslo AND id=$id
[SQL] pobierz, plaintext 

Jest to niestety sposób niedopuszczalny, a to dlatego, że jest niewydajny, szczególnie dla serwisów z duża ilością wejść dziennych.

Bardzo jestem ciekawy jak wy to rozwiązujecie, a może jest jakaś inna możliwość w php, o której nie wiem ?

Pozdrawiam

[GrayHat]

dodawaj do cookie checksum np:

[PHP] pobierz, plaintext 
<?php
$_COOKIE['login'] = 'zenek';
$_COOKIE['login_time'] = time();
$_COOKIE['checksum'] = md5($_COOKIE['login'].time());
?>
[PHP] pobierz, plaintext 

i potem sprawdzasz:

[PHP] pobierz, plaintext 
<?php
if ($_COOKIE['checksum'] == md5($_COOKIE['login'].$_COOKIE['login_time'])){
// dane autentyczne
} else {
// ktos przyhakierzyl ;P
}
?>
[PHP] pobierz, plaintext 

[entine]

@GrayHat:

Jesteś genialny ! W życiu nie wpadłbym na coś tak prostego i fajnego. Wprawdzie można shakować nadal, ale prawdopodobieństwo jest dużo mniejsze niż w przypadku nie zabezpieczenia. Dzięki !

[GrayHat]

Dziekuje za slowa uznania.
Mozesz jeszcze obnizyc prawdopodobienstwo zlamania checksumy trzymajac w configu jakas wartosc np liczbowa ktora jest generowana przy instalacji systemu a potem dodawana do checsum:

[PHP] pobierz, plaintext 
<?php
$config['checksumAddCode'] = 123456789;
?>
[PHP] pobierz, plaintext 

i nasz kod cookie:

[PHP] pobierz, plaintext 
<?php
$_COOKIE['login'] = 'zenek';
$_COOKIE['login_time'] = time();
$_COOKIE['checksum'] = md5($_COOKIE['login'].time().$config['checksumAddCode']);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
if ($_COOKIE['checksum'] == md5($_COOKIE['login'].$_COOKIE['login_time'].$config['checksumAddCode'])){
// dane autentyczne
} else {
// ktos przyhakierzyl ;P
}
?>
[PHP] pobierz, plaintext 

teraz nawet jak "hakier" bedzie wiedzial o kodowaniu hasla to i tak nie zgadnie wartosci z configu

pozdrawiam

Ten post edytował GrayHat 8.09.2007, 17:01:33