min hjemmeside blev hacket

Tjekker dine sidder en session hvor der står hans ID efter han er logget ind
I så fald vil jeg foreslå at alle dine "sikre" sider tjekker en session for hans id og findes ID'et ikke bliver han smidt til forsiden. Og hvis du vil være på den sikre side kan du gemme både hans ID og Pass, som han indtaster på forsiden i to session, og hver side så tjekke om ID og pass passer sammen

Det kan være et simpelt SQL injection problem, hvis du har adressen på siden er det nemmere end at gætte sig frem.

Ja jeg har sessions der tjekker efter id og pass på hver side.
Det er sikkert et SQL injection problem. Da han oprettede nyheder som han ikke skulle kunne. Og mit nyhedssystem fanger normalt ID af brugeren, men åbenbart ikke denne gang. Hvordan kan jeg sikre det mod sql injections? :)

Du er sikker på at han ikke "bare" har time'et-out på sessionen? Altså at brugeren rent faktisk har været logget korrekt ind, men har været så lang tid om at skrive nyheden at sessionen er blevet slettet.

Denne fejl kan nemt opstå hvis du ikke tjekker om id/pass stadig findes i toppen af den side som tilføjer nyheden til databasen.

okay, men problemet er stadig at almindelig brugere ikke kan oprette nyheder. Det kræver special godkendelse som kun 5 brugere har og det var ingen af dem som oprettede nyheden. Så det er lidt underligt.

<ole>

Det kan være sket et hav af steder. Det behøver ikke nødvndigvis være dit login-system, der er blevet knækket ... det kan også være web-serveren og/eller SQL-serveren

/mvh
</bole>

jeg tror det har noget med at min nye server, nnår brugeren mister sin session efter et stykke tid, bliver han ikke smidt ud det er ret underligt :/ Jeg ved simpelthen ikke hvor fejlen er :/

Også svært for os at gætte ;)

[citat 10/01-2005 09:11:03]
Ja jeg har sessions der tjekker efter id og pass på hver side.
[slut]

Og det husker du også på den side som indsætter nyheden i din database?

ja :)

lukker