Sikkerhedsbrist ved typen "hidden" ved FORM

Brug session istedet, hvor du har en funktion den tjekker om session id og og bruger er i orden du kører på alle sider, så kan man ikke hoppe forbi noget.

Session eller Cookie er dit svar.

Session: http://dk.php.net/manual/da/ref.session.php
Cookie: http://dk.php.net/manual/da/function.setcookie.php

iss: Med mindre der er en som stjæler ens session-id! :o)
Ellers er sessions vejen frem, som iss siger.
Du skal altid tjekke for alle tænkelige ting, eller omvendt, sikre du kun godkender lige præcis det som er meningen der skal modtages.

Derfor jeg skriver man tjekker session ID'en...

iss: Og jeg skrev, man kan stjæle session ID. :o)

Hvis man tjekker den ordenligt kan det ikke lade sig gøre.

Iss: Ok, så siger vi det! :o)

Lol, siden har nok ikke mange hackeres interesse...
Når den er færdig kommer den til at lægge på http://www.krainart.dk/.
I kna jo lige se den...
Den er ikke specielt fancy ;)

Øøøøh....
Jeg er ikke helt sikker på, at jeg forstår princippet.

Er en session et ur, der tæller fra sezzion_start()?
Tjekker den så, om sessionen har den ritige værdi?
Kan I ikke lige give et eksempel...?

Du laver session_start(); på alle dine sider.

Du laver en login side, hvor du tjekker brugernavn/password. og sætter en session variabel du senere kigger efter for om brugeren er logget ind.

Du laver en funktion der tester en session om brugeren er lopgget ind, om session id er i orden osv. er den så ikke i orden logger du vedkommenden af.

Den funktion kalder du som der første på alle de sider du ikke vil have andre ser på...

Prøv at kig her: http://www.eksperten.dk/artikler/Programmering/Script/PHP/
og søg på LOGIN

Mange tak!
Jeg fandt artiklen 'SESSION med PHP' (http://www.eksperten.dk/artikler/923).
Den forklarede alt, jeg behøver at vide.
Tak, bare smid et svar, begge to!

HOV! Hvorfor virker dette ikke:

--- index.html ---

<FORM method="post" action="session.php">
    Kodeord:<BR>
    <INPUT type="password" name="password" size=50 maxlength=25><BR><BR>
    <INPUT type="submit" value="Fortsæt">
    <INPUT type="reset" value="Nulstil">
</FORM>


--- session.php ---

<? $correctPassword = "kodeord" ?>
<?

    // Correct password
    if ($_POST["password"] == $correctPassword)
    {
        session_start();
        $_SESSION["password"] = $_POST["password"];

?>
Du er nu logget ind.
<FORM method="post" action="end.php">
    Kommentar:
    <INPUT type="text" name="comment" size=50 maxlength=25><BR><BR>
    <INPUT type="submit" value="Fortsæt">
    <INPUT type="reset" value="Nulstil">
</FORM>
<?

    // Wrong password
    }
    else if ($_POST["password"])
    {

?>
Forkert kodeord.
<?

    // No password
    }
    else
    {

?>
Intet kodeord indtastet.
<?

    }

?>


--- end.php ---

<? $correctPassword = "kodeord" ?>
<?

    // Success
    if ($_SESSION["password"] == $correctPassword)
    {

?>
Kommentar: '<? print $_POST["comment"] ?>'.
<?

    // Error
    }
    else
    {

?>
Der opstod en fejl.
<?

    }
    session_destroy();

?>

Hvad sker der da når du bruger den kode der?
session_start(); bør du altid have øverst i din kode.

Og så får du et svar.

Jeg prøver lige at flytte session_start(); øverst...

Hm...
Det hjelp ikke.
Den retunerer stadig

Notice: Undefined variable: _SESSION in c:\program files\easyphp1-8\www\php session test\end.php on line 5
Der opstod en fejl.
Warning: session_destroy(): Trying to destroy uninitialized session in c:\program files\easyphp1-8\www\php session test\end.php on line 22

.

*hjalp

Du mangler session_start() i din end.php, gør du ikke?

Ups...
Lol, jeg antog, at Session var lige som et "globalt objekt" - at når det først var oprettet, forblev det aktivt. Men sådan er det nok ikke...
Tjekker lige...

NU VIRKER DET!
Tusind tak...

Lige et kort spørgsmål til:
Hvad hvis brugeren via addressefeltet går til en anden hjemmeside og f.eks. tilbage igen - eksisterer Sessionen så stadig?

Og iss og leif, smid lige nogle svar også...
Ellers går pointene bare til jakobdo.

Jeg samler ikke på point.

Okaj.

Så længe at browseren ikke har været lukket eller session timer out er den aktiv.

Hvordan får man den til at "time out"?

Med cookies, går jeg ud fra...
Det må jeg lige kikke på på et tidspunkt.

Tak for hjælpen!

Du kunne også selv sætte en tid ind i session.
Når der logges ind, kunne du lave:
$_SESSION['action'] = time()+60;

Så vil du have tiden om 1 minut.
Så kan du tjekke om session er sat, og om tiden over $_SESSION['action'] < time() // time out.

Jeg takker også for point.

Okaj, takker igen :)
Og selv tak ;)