02. december 2002 - 15:45Der er
2 kommentarer og 1 løsning
Validering af password
Hej Alle!
Er dette godt nok til sikkert at validere et password? Jeg mener at have læst et sted at man kan skrive noget i retning af "1=1 or 1=" som password og så snyde systemet.
----- Klip if request.querystring("pwd")="test" then session("validate")=true response.redirect("indexval.asp") end if ----- Klip
Hvad sker der egentlig når man bruger session("??")=noget? Bliver der oprettet en cookie og i givet fald hvornår dør den så?
PS. Skal man stadig bruge request.querystring hvis man bruger post i sine forms? Hvilke andre request-typer findes der og hvornår bruger man dem?
Det er gankse rigtigt du har læst omkring man kan skrive "1=1 or 1=" i password feltet og snyde sig ind. Det er dog kun hvis man hendter passwordet fra en database hvis du har et password som du tjekker i koden på den måse som du gør sker der ikke noet ved at skrive "1=1 or 1=" som password.
Session er aktive så lang til man er online på siden. Den slettes når sited forlades eller browseren lukkes. Der bliver lavet en cookie, men den indeholder kun en ID for session og data gemmen på serveren.
Hvis du bruger method="POST" i en form skal du bruge request.form("felt")
Brug request.form hvis du bruger post, request.querystring hvis du bruger get.
Sessions kan du nok sammenligne med en slags virtuel cookie. De bruger ram på webserveren - ingen filplads. De bruger dermed ikke noget hos klienten.
Den "1=1"-problematik du omtaler opstår, når du ikke kontrollerer brugernavne/passwords, når du har hentet brugerinformationerne fra databasen. Du kan løse det ved at lave et egentligt check på, om det der er indtastet rent faktisk er identisk med det der står i databasen. På den måde er du stort set ude over problemet.
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
