ТвойWeb :: Версия для печати :: Скрипт авторизации

1. UFO - 16 Сентября, 2006 - 03:59:47 - перейти к сообщению

Мне тут понадобился скрипт для авторизации пользователей, т.е. когда пользователь вводит в окшечко свой уникальный пароль/номер, нажимает кнопочку и он оказывается на своей персональной страничке, где указаны какие-либо интресные и нужные только ему данные. Итак, скрипт выглядит так:

CODE:

<form action="<?php echo $_SERVER['PHP_SELF'];?>" method="POST">
Введите пароль
a = <input type="text" name="a">
<input type="hidden" name="act" value="act">
<input type="submit" name="submit" value="Войти">
<input type="reset" name="reset" value="Очистить">
</form>
<?
Error_Reporting(E_ALL & ~E_NOTICE);
if($a==test) echo "Пароль верный";
if($a<>test) echo "Пароль неверный";
?>

Возникли следущие вопросы:
1) Как вообще выглядит такой скрипт в свете безопасноти? Можно ли как-либо узнать какой пароль забыт в скрипте и соотвественно войти под этим паролем? А если придумать систему кодирования в этом же скрипте, это решит проблему (если она есть)? Скрипт расчитан на максимум 100 пользователей, у которых будут таким образом введены пароли, а при правильном вводе пароля будет отображаться его личная страница с определенной информацией.
2) Если не обращать внимания на первый пункт, то как вместо

CODE:

echo "Пароль верный";

сделать include из какого либо файла?

CODE:

echo "include('file.php')";

не работает в этом случае - выводит программный код (а если добавить <? и ?>, то ничего не выводит, даже если файл include с чем-либо).
3) Как можно заменить более универсально строчку

CODE:

if($a<>test) echo "Пароль неверный";

?
Т.е. чтобы получилось так: если в скрипте нет введенного пароля, то выводилась надпись "Пароль неверный", ведь если другие пароли будут отличаться от "test", то будет противоречие.
Заранее спасибо за ответы Улыбка

2. Malcolm - 16 Сентября, 2006 - 04:13:01 - перейти к сообщению

1) Плохо выглядит. Входящие данные должны фильтроваться

2)

CODE:

if ($a=='test') include('correct.php');

CODE:

if ($a=='test') echo 'OK'; else echo 'BAD';

3. UFO - 16 Сентября, 2006 - 04:22:14 - перейти к сообщению

1) Что значит фильтроваться?
2) А вот как оно. Тогда ясно в чем ошибка.
3) Таких паролей будет много, и у каждого должно быть

CODE:

echo 'OK'; else echo 'BAD';

?
Тогда не один работать не будет, т.к. будет

CODE:

else echo 'BAD';

4. Malcolm - 16 Сентября, 2006 - 04:39:53 - перейти к сообщению

1) Подумай, что будет, если я введу вот такой пароль:

CODE:

1=1 OR ''

??
Фильтровать примерно так:

CODE:

$a = $_POST['a'];
$a = preg_replace("/[^a-z]{10}/i","",$a);

3) В данном случае нужно задать массив с паролями и проверять в нем. Если в массиве не нашел, тогда echo "Пароль неверный";

5. Леголегс - 16 Сентября, 2006 - 07:13:38 - перейти к сообщению

Malcolm пишет:

Подумай, что будет, если я введу вот такой пароль:

ИМХО, будет "пароль не верный" Улыбка

Malcolm пишет:

Фильтровать примерно так:

Ограничить пароли маленькими буквами латинского алфавита? Очень плохая идея.

Malcolm пишет:

В данном случае нужно задать массив с паролями и проверять в нем. Если в массиве не нашел, тогда echo "Пароль неверный";

С хешами паролей, с хешами.

PHP:

$passwd = Array("vasia" => "a86850deb2742ec3cb41518e26aa2d89",
"petia" => "e7df7cd2ca07f4f1ab415d457a6e1c13");
if (isset($passwd[$login]) && md5($a)==$passwd[$login]) include('correct.php');

У Васи пароль qwerty, у Пети 1234
Это базовый вариант, используются ещё несколько ухищрений, но я их не помню.

6. Malcolm - 16 Сентября, 2006 - 08:04:20 - перейти к сообщению

Хм, ну да, такая строка для взлома не подойдет.

Ограничили не маленькими буквами, а множеством A-Za-z, поиск регистронезависимый. Можно до кучи и цифры подключить, но в принципе и так понятно.

С md5 согласен, объясняй теперь человеку как генерировать хэши и что это такое. В мои планы лекции по криптографии не включались.

7. UFO - 16 Сентября, 2006 - 09:56:19 - перейти к сообщению

В случае с

CODE:

1=1 OR ''

действительно будет "Пароль неверный", когда тогда смысл что-то ограничивать, когда пароли буду прописывать только я? А уж пароли будут генерироваться скриптом и выдаваться пользователям. Кроме того, "Пароль неверный" я убрал вообще, т.к. не ясно как это задать.

8. UFO - 16 Сентября, 2006 - 09:58:30 - перейти к сообщению

Malcolm пишет:

С md5 согласен, объясняй теперь человеку как генерировать хэши и что это такое. В мои планы лекции по криптографии не включались.

А обязательно шифровать пароль? Если будет так:

CODE:

<form action="<?php echo $_SERVER['PHP_SELF'];?>" method="POST">
Введите Ваш идентификационный код:
<input type="text" name="a">
<input type="hidden" name="act" value="act">
<input type="submit" name="submit" value="OK">
</form>
<?
Error_Reporting(E_ALL & ~E_NOTICE);
if($a==test) include('users/mangust.php');
if($a==open) include('users/open.php');
?>

Где "test" и "open" - пароли пользователей (и таких будет много).
Это не безопастно?

9. Malcolm - 16 Сентября, 2006 - 10:40:55 - перейти к сообщению

Ну в строке пароля я немного ошибся. Вместо одинарного "=" надо было двойное "==" Если на сервере отключен magic_quotes, то можно сделать с таким запросом все что угодно, вплоть до выполнения на твоем сервере моего собственного скрипта. Кстати, твой код нерабочий. Откуда берется значение $a? добавь

CODE:

$a = $_POST['a'];

10. UFO - 16 Сентября, 2006 - 11:37:20 - перейти к сообщению

Про запрещенные символы - ясно, будем внедрять и это.
Код работает, так что не знаю к чему здесь

CODE:

$a = $_POST['a'];

но добавлю.
Жду разъяснений по поводу md5 к моему скрипту Улыбка