Hjælp til optimering af sikkerhed i php system

til at starte med kan du jo checke dine brugerindtastede variabler ($variabel = $_POST[variablen]) om det er det rigtige format.

altså, hvis brugeren skal indtaste et tal, så brug is_numeric()til at checke om det nu kun er et tal der bliver indtastet

Hvis det også er tekst der skal indtastes, så check efter ' og " og lav dem om til html karaktererne evt. med HTMLENTITIES eller med en simpel str_replace

forresten så husk at for " og ' bliver påvirket af htmlentities skal du bruge ENT_QUOTES

altså
$variabel=htmlentities($variabel, ENT_QUOTES);

Jo tak, det var da brugbart :-)

flere bud er velkommne

I forbindelse med dit forum skal du naturligvis også huske at bruge HTMLENTITIES så brugeren ikke får mulighed for at skrive html ( eller php ) koder der ødelægger dit design eller site.

for et mere sikker loginsystem kan du bruge en javascript version af MD5 så rentekst kodeordet ikke kan fanges over netværket med en pakkesniffer.

Det gør jeg allerede ;-)

Andre ting?

ikke lige umiddelbart.

Ikke ud over at holde en stram logfil så du kan finde ud af hvem der smadrede noget, hvis det sker..

Desuden kan du jo ( det gør jeg ved et par sider ) lave IP adgang til admindelen, sådan at man skal sidde med en bestemt ekstern IP adresse for at få adgang til siden..

lidt i samme stil kan du gøre med at banne folk fra at logge ind, hvis de bruger forkert brugernavn / password 3 gange, så bliver de banned i 1 time el. lign. det er ret simpelt. sammen med deres brugernavn og password i databasen laver du en errorlogin der så tæller op fra 0 til 3 hver gang de fejler. og naturligvis bliver nulstillet når de logger rigtigt ind

Det er noteret!
Alle andre som kan komme med foreslag er velkommene

må man se et eks. på javascript udgaven af MD5...?

http://pajhome.org.uk/crypt/md5/

Du kan muligvis også have glæde af http://phpsec.org/projects/guide/ de kommer grundigt ind på en masse forskellige måder at undgå sikkerhedsbrister

Det var da en helt vild god side! Den kan jeg virkelig bruge.

Holder spørgsmålet åbent endnu, sikkerhed er et vigtigt emne og der kan stadig komme gode svar.

Hej igen radion, du skrev før at jeg bør holde en stram logfil så jeg kan finde ud af hvem der smadrede noget, hvis det sker.. men hvordan laver man sådan en log fil? Jeg har søgt lidt, uden held.

Og et svar tak :-)

hej igen. Det er op til dig selv om den logfil "bare" skal være en txt fil du gemmer i, eller en database.

Jeg bruger database, da jeg har nemmest ved at søge i den.

Men, det foregår simpelthen ved, at hver gang der sker noget på sitet.. log ind, log ud,oprettelse / sletning / redigering af ting, så skriver du til databasen ( eller filen) hvem, hvornår, hvorfra ( IP ), og hvad der bliver lavet. du sætter selv detaljegraden i og med du bestemmer om det skal være hver gang folk skriver i forumet, om det de skriver skal med, osv osv.

Jeg har selv brugt denne:

function logger($note,$navn=NULL){
   
    if(!$navn){
    $navn=$_SESSION['login_username'];
    }
   
    $tidspunkt=time();
    $ip=$_SERVER['REMOTE_ADDR'];
    $strsql="insert into log_actions(navn,tidspunkt,ip,note) values('$navn','$tidspunkt','$ip','$note')";
    mysql_query($strsql);
   
}

Hvis en person har logget sig ind, og det har fejlet, så bruger jeg den:
logger('Login failed.',$login_name);

hvis det lykkedes:
logger('login Success');

den kan bruges til stort set alting, af hvad du har planlagt.her vil man også kunne se om en prøver bruteforce på passwords osv..

håber det kan bruges i en eller anden form :)

du kan bl.a. holde en stram statistik over trafiken på din side ved at registrere alle ip/host og hvilken tid de var på hvilke sider o.s.v...

Det kan helt sikkert bruges, kan vi få et svar af dig radion ?

klart da :) håber du får bygget et sikkert site :)

godnat til alle :) ( eller godmorgen )