sikkerhed i logon script

Du kunne måske md5 kryptere det password du tjekker om eksisterer ved logon.

Ydermere ved jeg ikke om der er flere sites forbundet i dit loginsystem, hvis der er, så lav en $logged_in == "true", og lav en session der tjekker om denne er sat i toppen af hver side.

--
pacroon

gider du give et eksempel med md5? :)

hvad mener du helt præcist med den $logged_in??

du skal passe på med bare at smide variable fra $_POST ind i en sql-query. du kan bruge mysql_escape_string() til formålet. eg :

$query = "SELECT id, active, name, pass FROM $DB.user WHERE email='" . mysql_escape_string($_POST[logon_email]) . "' && pass='" . mysql_escape_string($_POST[logon_pass]). "'"
$get = mysql_query($query);


desuden ville det nok være klogt at checke ved hvert mysql_* om det lykkedes. eg. noget a la
mysql_query($query) or die(mysql_error());

i øvrigt bør du sikre dig at register_globals ikke er sat til på din server, da brugeren ellers muligvis (kommer an på resten af din kode) kan override $DB. det kan du evt. klare ved også at bruge mysql_escape_string() omkring $DB.

hvad kan der ske ved at bruge $_POST direkte i min query?

globals er ikke sat til ;)

hvordan kunne man bruge md5?? er det kryptering??

prøv at forestil dig sql-sætningen hvis jeg indtaster følgende som min email:

supermand69@site.dk'#

bliver til:

SELECT id, active, name, pass FROM $DB.user WHERE email='supermand69@site.dk'#

alt efter # vil blive ignoreret, og jeg kan logge ind som en anden bruger, uden at kende dennes password.

magic quotes, som er enabled på mange servere, gør dog at man ikke er såbar.

men uden magic quotes, er det ret vigtigt med mysql_escape_string()

du risikerer at blive udsat for sql-injection.

md5 er en såkaldt envejs kryptering. som regel bruger man det til, at kryptere passwords i databasen så de ikke kan læses, hvis en hacker får adgang til din db. (men det burde han alligevel ikke få i første omgang)
da det er en envejs kryptering (i modsætning til en symmetrisk kryptering), har det ydderligere den fordel at sysadm (dig) ikke har mulighed for at finde ud af hvad folks passwords er. det er en øget sikkerhed for brugeren, eftersom man ofte bruger samme password flere steder, og du ville derfor kunne misbruge oplysningen.

du kan bruge md5 ved at anvende mysql-funktionen MD5()
eks :
$get = mysql_query("SELECT id, active, name, pass FROM $DB.user WHERE email='$_POST[logon_email]' && pass=MD5('$_POST[logon_pass]')");

du skal så bare huske at gøre det der, hvor du indsætter i db også.

magic quotes er enabled :)

pass i min db er ikke krypteret... kan man ikke bare nøjes med at lave en md5 på både input og det fra sql??

jeg vil ikke lave md5 på alle passwords i min db, da jeg skal have mulighed for at sende pass i en e-mail hvis det bliver glemt

en anden måde at bruge md5 på er, at encrypte password'et med md5 vha. en javascript-funktion, inden du submit'er din form. en lettere (og endnu sikrere) løsning ville dog være bare at køre dit site over ssl-forbindelse. eller i det mindste selve login-formen.

det er i øvrigt også en god idé, at regenerere session_id, når brugeren logger ind. det sikrer imod den mest alm. form for session-hijacking. du kan gøre det ved, at smide følgende funktionskald ind :
session_regenerate_id();

swaxi, den der session_regenerate_id(), prøv lige at fortæl Admin her på Eksperten, at den er god at benytte :)

hvad mener du med session_regenerate_id()

hvad gør den?

funktionen gør, at din session får et nyt nummer. dvs. selvom der måtte være en person, der har hijack'et din session, så vil hans forsøg mislykkedes idét din aktuelle (usikre) session bliver lukket og en ny bliver åbnet.
det klares ved, at kalde ovennævnte funktion, og du bør derfor gøre det når en bruger logger ind i dit system. bare smid funktionskaldet ind lige før denne linie :
$_SESSION['userid'] = $row['id'];

> squashguy
der var en glimrende artikel om emnet i php|architect i februar 2004 nummeret. ( http://www.phparch.com/issue.php?mid=24 ) du kan jo prøve at sende den i nakken på admin.

altså sådan??

session_regenerate_id();
$_SESSION['userid'] = $row['id'];

jeps

det virker ikke?!

jeg kan ikke få den til at virke?!