Sikkerhed

Er det muligt at omgåes Session Object?

Nej det kan du ikke men hvis du og du kan heller ikke 100 % sikre dig men det her er lidt sikre end det du selv har lavet

<%
strNavn = Request.Form("navn")
strPass = Request.Form("password")
strNavn = replace(strNavn,"'","''")
strPass = replace(strPass,"'","''")
If strNavn = "hemmeligt" AND strPass = "hemmeligt" Then
Session("log") = "ind"
Session.Timeout = 5
Response.Redirect "admin.asp"
%>

Og så har

<%
If session("log") <> "ind" then
Response.Redirect "log.htm"
Else
%>

Hvad gør disse?

strNavn = replace(strNavn,"'","''")
strPass = replace(strPass,"'","''")

Hvis du vil sikre dig imod at navn og pw opsnappes via packetsniffing, så skal du som minimum også køre SSL.

FJERN
strNavn = replace(strNavn,"'","''")
strPass = replace(strPass,"'","''")

de har ikke en skid at sige når det ikke er SQL

Det er kun hvis du har brugernavn og password i en database og be benytter det indtastede navn og password til a lave et opslag for at se om en bruger findes...

Ekse
slq = "SELECT * FROM usertb WHERE navn = '&strNavn&' AND pass = '"&strPass&"'"
set rs = connection.execute (sql)
if NOT rs.EOF then
  'ruger fundet i databasen...
end if

Så fordi ' benyttes i SQL som start og slut på strenge..
Så man kan let "brude" gemmen hvis man angiver navn og password snedigt mend ' i.. Derfor skal man altid når man skriver til en databases kolonne som er tekst felt erstatte en ' med to '' som meilby skriver...

Hvis du bare har et fast password og navn som:
If Request.Form("navn") = "hemmeligt" AND Request.Form("password") = "hemmeligt" Then

Så har det ikke nogen betydning om du skifter en ' med to.

jeg har kun et fast brugernavn og password - så det gør jo nogle ting lidt lettere... når det nu kun er mig der skal have adgang.