Sikkert passwordsystem!

Session systemet kan udnyttes på ihvertfald følgende to måder:

1) Direkte adgang til serveren. Ligger din maskine på en shared host el. lign. eller lykkes det at få adgang til serveren, er gyldige sessions tilgængelige i PHP's temp/ directory.

2) Session id'et bliver sendt med i HTTP_REFERER, hvis brugeren ikke har cookies slået til. Lad os antage, at en bruger logger ind på dit site. Denne bruger har ikke cookies slået til, og du har -enable-trans-sid (eller hvad det hedder) slået til i PHP config. Nu følger brugeren et interessant link fra din side, en person med skumle-hensigter har posted (i din guestbook el. lign). På denne side logger han HTTP_REFERER. I denne vil være indeholdt brugerens session id, og han kan nu logge ind som ham.

Hvis du vil omgå disse problemer, kan du implementere din egen session håndtering, eller bruge en anden end PHP's default.

Se mere på:
http://www.webkreator.com/php/configuration/php-session-security.html
http://www.n3rds.com.ar/files/docs/php_sessions/sess_handler.txt

sessions er ikke særlig sikre...hvis brugeren ikke har aktiveret cookies og hans sessionid står i url'en kan han meget nemt komme til at sende den med hvis han fx giver en url til andre...

Jeg har gjort det (med inspiraiton fra PHPbb forum'et) at jeg kun sender session id'en som en cookie eller get-variabel og så gemmer jeg session-data i en database parret med IP'en...dvs at hvis en person prøver at bruge den samme session-id fra en anden ID bliver hans forsøg ignoreret og han tildeles en ny sessionid. En anden fordel ved at have det i databasen er forøvrigt at så er det nemt at lave "online-scripts". Bare sørg for at slettte gamle sessions.

Noget andet du skal tænke på er selve login-processen. Tjeck om der er magic quotes slået til og hvis der ikke er så BRUG ADDSLASHES! Og lad være med at kalde dine form-felter det samme som felter i databasen.

Men en kæde er jo som bekendt ikke stærkere end det svageste led, og det plejer at være brugerne. Hvis du vil have høj sikkerhed kan du kræve at brugeren skal lave sikre alfa-nummeriske passwords med både store og små bogstaver. Også din session udløbstid er et problem - hvis brugeren ikke logger ud og andre får adgang til computeren (og brugere logger (desværre) sjældent ud), så kan han få adgang hvis sessionen ikke er udløbet. Find ud af hvor lang tid folk skal bruge på hver side og sæt så din udløbstid lidt højere end det.

Håber du kan bruge det til noget selvom der ikke er noget specifik kode. Men det kan du vel udvikle selv? :D

-Alrua

Nåja, jeg glemte lige et rigtigt godt link:

http://www.owasp.org/guide/

Læs og forstå denne guide.

The "OWASP Guide to Building Secure Web Applications and Web Services" has been downloaded over 500,000 times in the last 3 months. At 60 pages it not always light reading but is a practical approach to building applications and covers a wealth of content from defining your security needs to avoiding common security problems like Cross Site Scripting and SQL Injection.

The Guide includes

An Overview - describing what web applications and web services are
How Much Security Do You Really Need ? - explaining how to assess the security need and perform risk assessments
Security Guidelines - A set of high level principles that all applications should adhere to
Architecture - Discussion on how Architecture considerations can ensure security where its needed
Authentication - Describes the different types of authentication possible and the common problems
Session Management - Describes the right way to manage sessions and generate security tokens
Access Control - Describes access control concepts
Event Logging - Describes what to log and how to log user and system events
Data Validation - Describes strategies for dealing with unexpected input and what you need to block
Common Problems - Describes problems like cross site scripting and SQL Injection and offers practical advise on how to stop them cold
Privacy - Discusses privacy issues that may face your application
Cryptography - How to use cryptography and describes some common mistakes