sikkerhed

Skal du ikke bare have fat i et login system?

Der kan hentes flere af slagsen på http://activedeveloper.dk under deres download menu.

Hvis du finder et skal jeg gerne give en hånd med til at skrive lidt om i det, hvis det er påkrævet :-)

/Søren Søndergård

Søren, det tror jeg ikke bare man kan...?
Jeg har også lavet en tabel med admins i.

er det så ikke bare at teste på om det er dit login-navn der er brugt under login proceduren. det kan stilles op på denne måde

If [LOGIN] <> "[Dit login navn]" THEN
Response.redirect "tilenandenside.asp"
End If

det bliver så skrevet øverst i den side hvorfra du sender mailen ud.

/Søren Søndergård

Jamen det er første gang, jeg kaster mig over sådan noget her:) Så du skal ikke spørge mig;)

det var nu ikke sådan det var ment, men når man ikke kender koden som ligger bag, kan det være svært at komme med et løsningsforslag

Jeg mener også bare, jeg ikke kan sige: "joohhh det ser rigtigt ud"...jeg er så lost, du tror det er løgn her*G*

er du på ICQ eller ligende, så kan det være at jeg kan hjælpe dig, det er trods alt lidt nemmere end over eksperten

Ja, jeg er, men er ikke så vild med at poste den her;)
Du kan lige få min mail: 12day@12day.dk

intet er sikkert :(!!

-> simonia jeg kan ikke lige finde dig! har du et UIN ellers kan du søge på min mail soes@mail.dk

-> online-help.dk: du har ret, der er ikke noget der er sikkert, men der er noget som er mere sikkert end andet, og ja, jeg ved godt at jeg kun er en latterlig amatør, og jeg har hellerikke planer om at skrive et eller andet revlutionerende, håber du forstår ironien :-)

/Søren Søndergård

:) Har besvaret din mail:)

Min mening var at sende dig mit icqnummer, når du sendte mig en mail, da jeg som sagt ikke ønsker at poste mit nummer offenligt:)

Sætter lige spm. op til 100 p. Få meget mere hjælp end jeg bad om i første omgang hos soes.

Hvis det skal være sikkert skal din db ikke ligge på selve webben, men bagved altså fx. c:\inetpub\wwwroot\DINWEB\db\mail.mdb
ellers kan enhver finde koderne på kort tid.

ok tak for tippet jakob

Ligger din DB det rigtige sted kan du sikre dig på flere måder fx:
--------------
Bruger=request.form("BrugerNavn")
kode=request.form("PassWord")

DIN FORBINDELSE SKAL VÆRE HER

If rs("PassWord")=kode then
session("Godkendt") = True
response.redirect("DU_ER_LOGGET_IND.asp")
else
session("Godkendt") = False
-------------------
så skal du blot sætte dette her i toppen på alle de sider du vil have beskyttet:
-------------------
<%
if session("godkendt") <> True then
response.redirect "DEN_SIDE_DU_HAR_DIN_LOGINFORM_PÅ.asp"
end if
%>

det var så et svar

Ups
Jeg glemte lige, at du i din SELECTION kun skal have de poster hvor:
SELECT * FROM login WHERE bruger='"  & bruger & "'"

Altså så du kun tjekker om password er rigtigt i de poster som er = det brugernavn du taster ind i din form

Jakob....læs lidt højere i teksten, jeg får allerede hjælp:)

helt rigtigt jacob, men du glemmer bare lige en meget vigtig ting, og det er at man bruger SQL til at lave forespørgsleren med, og man kan nøjes med at skrive lidt i input felterne ex. " OR 1 = 1 og så slipper man også igennem. for at løse det skal man lige bruge en replace funktion. Mit svar er sendt til dig nu simonia (Email)

/Søren Søndergård

Det tror jeg ikke du kan jeg har lige prøvet det på min egen side og der slipper jeg ikke igennem, men jeg vil da gerne se hvad du mener med REPLACE kan du ikke ligge svaret her, det er jo en af de ting som er fidusen ved eksperten man deler viden med de andre brugere

dette er den kode jeg bruger til et af mine projekter lige for tiden:

<%
Set Conn = Server.CreateObject("ADODB.Connection")
Conn.Open "DRIVER={Microsoft Access Driver (*.mdb)};DBQ=" & server.mappath("data/data.mdb")

If Request.Form("mode") = "check" Then
    ' Her forberedes de indtastede værdier til validering
    strUID = Trim(Replace(Request.Form("user"),"'",""))
    strPWD = Trim(Replace(Request.Form("password"),"'",""))

    ' Hvis der er skrevet noget i både brugernavn og adgangskode
    If Len(strUID) > 0 And Len(strPWD) > 0 Then

       
        ' Opbygning af SQL streng
        sSQL = "SELECT * FROM users WHERE (user = '" & strUID & "') AND (pass = '" & strPWD & "')"

        Set Rs = Server.CreateObject("ADODB.RecordSet")
        Rs.Open sSQL, Conn, 3,3

        If Not (rs.BOF Or rs.EOF) Then
            ' Hvis brugeren fandtes i databasen
            session("IRLname") = Rs("IRLname")
            session("login") = "true"
            session("brugerid") = Rs("brugerid")
            Response.redirect "default.asp?page=default"
        Else
            ' Hvis brugeren ikke fandtes i databasen
            Response.redirect "default.asp?page=login"
        End If
       
        Rs.Close
        Set Rs = Nothing
        Conn.Close
        Set Conn = Nothing

       
    Else
        Response.redirect "default.asp?page=login"
    End If

End If

%>

der kan læses mere om problemet på denne side:
http://www.asp.dk/articles.asp?mode=show_article&article_id=132&tech_id=1

/Søren Søndergård

Jeg kan stadig ikke komme ind uden rigtig kode. Hvad skal præcis skrive i

brugernavn:
password:

For at slippe igennem? jeg har prøver 'or '1'='1 i begge felter

Min kode er sikker...
For jeg tjekker om en kolonne værdi er = det indtastet og ikke kun om recorden er tom. Så hvis du indtaster 'or '1'='1 vil du blive afvist fordi værdien 'or '1'='1 ikke er = værdien i kolonnen - eller hva?

men jeg kan da godt se problemet hvis man som krav for adgang kun har den faktor at SELECTION'en ikke er tom.

SÅ kom min udbyder på banen igen:)
Det ser jo ud til at virke super Søren...er det sikkert nok?
Tusinde tak for din assistance!!!!