password scriptje blijft error geven - Softwareontwikkeling

maandag 8 april 2002 11:49

Acties:

Topicstarter

'k Ben een complete n00b op dit gebied, maar onderstaand stukje heb ik bij elkaar geraapt en in elkaar geflanst, maar hij geeft een error. 'k Snap niet waar de error vandaan komt, omdat ik volgens mij (maar ja, ik denk zoveel...) alles juist gedefinieerd heb.

code:

<HTML>
<HEAD>
<TITLE></TITLE>

<SCRIPT LANGUAGE="JavaScript">
<!-- Begin
function goForit() {
var location;
var user;
var password;
password=this.document.testform.password.value
user=this.document.testform.user.value
location="23049823409" + user + "asdkljh" + password + ".shtml"
fetch(location)
theKeeper=window.close()
}
function fetch(location) {
var root;
if (opener.closed) {
root=window.open('','Chidero','toolbar=yes,location=yes,status=yes,menubar=yes,scrollbars=yes,resizable=yes,copyhistory=no');
root.location.href = location;
} else {
opener.location.href = location;
   }
}
// End -->
</SCRIPT>

</HEAD>
<BODY>


<FORM NAME="testform" onSubmit="Chidero()">
user<BR>
<INPUT TYPE="text" NAME="user" VALUE="" size=20><BR>
password<BR>
<INPUT TYPE="password" NAME="password" VALUE="" size=20><BR>
<INPUT TYPE="button" NAME="button" Value="GO!" onClick="goForit(this.form)">
</FORM>

</BODY>
</HTML>

Anyone

Wat doe ik fout...

maandag 8 april 2002 11:51

Acties:

mulder

ik spuug op het trottoir

Foutmelding.. welke?

oogjes open, snaveltjes dicht

maandag 8 april 2002 11:52

Acties:

Bosmonster

*zucht*

Dat hele scriptje hangt aan elkaar van ellende... moeiljik zeggen zo waar de fout zit

maandag 8 april 2002 11:53

Acties:

SWINX

code:

1	this.document.testform.password.value

moet toch gewoon

code:

1	document.form["testform"].password.value

oid zijn

Mannen komen van Mars Tweakers, vrouwen van Venus Bokt

maandag 8 april 2002 12:03

Acties:

Bosmonster

*zucht*

maakt niet zoveel uit.. sterker nog, in je functie-call geef je het formelement eme, maar je doet er niks meer mee.. dan zit er nog een loze onsubmit in je form en vage constructies in je script:

theKeeper=window.close()

?

maandag 8 april 2002 12:04

Acties:

Dennahz

Life feels like hell should.

dit script is zoiezo makkelijk te kraken .. je kunt beter php of asp nemen.. of beter nog htaccess

Twitter

maandag 8 april 2002 14:33

Acties:

Verwijderd

Idd, een javascript login is meestal niet zo zeer veilig...
Ik raad je aan om dit te doen dmv ASP en cookies

(zo heb ik het ook gedaan)

Ik zit momenteel op school dus kan ik je niet de source geven, maar als je me gewoon ff mailt @ slindenau@home.nl komt alles goed

Het kan natuurlijk ook zonder cookies, maar met is toch veiliger... ivm de pagina NA het inloggen...Maar dat snap je niet, want je zecht zelf al dat je noob bent

Denk er maarz over na,

S=bas

Edit:

Voor een noob ben je nu toch wel aardig moeilijke dingen met Javascript aan het doen

VBsript in een asp pleuren is echt veel makkelijker & veiliger (check mijn eigen login: www.sf.fragworld.co.uk En een login met dezelfde techniek: www.6s.fragworld.co.uk )

maandag 8 april 2002 14:52

Acties:

Hangloozz

{ @$%&# }

Op maandag 08 april 2002 14:33 schreef slindenau het volgende:

Maar dat snap je niet, want je zecht zelf al dat je noob bent

steek die maar in zak

Op maandag 08 april 2002 14:33 schreef slindenau het volgende:

Voor een noob ben je nu toch wel aardig moeilijke dingen met Javascript aan het doen
VBsript in een asp pleuren is echt veel makkelijker & veiliger (check mijn eigen login: [url="http://"]vieze spam[/url] En een login met dezelfde techniek: [url="http://"]bijna dezelfde spam[/url] )

moeilijk is dat script niet echt imho, tis wel een goede oefening om zulk soort scriptjes toe te passen en uit te spitten, daar leer je veel van.
Daarnaast heb ik nergens gelezen dat het echt veilig moet zijn, het gatekeeper script is iig voor zover JS veilig kan zijn, behoorlijk veilig.

Enne die linkjes? spam?

www.jurgroessen.nl

maandag 8 april 2002 15:28

Acties:

Bosmonster

*zucht*

Om onbekenden buiten de deur te houden zijn dit soort scriptjes prima hoor, uitgaande van het feit dat de gebruikers niet hun username/password te grabbel gooien, maar dat geldt voor alle login-scripts

Tuurlijk moet je er niet je bedrijfsgeheimen mee proberen te beveiligen..

maandag 8 april 2002 16:06

Acties:

Verwijderd

Op maandag 08 april 2002 14:33 schreef slindenau het volgende:

Het kan natuurlijk ook zonder cookies, maar met is toch veiliger... ivm de pagina NA het inloggen...Maar dat snap je niet, want je zecht zelf al dat je noob bent

Mét cookies veiliger? Dan mag je toch vertellen hoe je dat precies bedoelt dan. Ik zou eerder zeggen dat het zonder cookies veiliger is. Je kunt dan alleen niet ingelogd blijven als je de browser sluit.

maandag 8 april 2002 17:43

Acties:

Verwijderd

Op maandag 08 april 2002 16:06 schreef Cheatah het volgende:

[..]

Mét cookies veiliger? Dan mag je toch vertellen hoe je dat precies bedoelt dan. Ik zou eerder zeggen dat het zonder cookies veiliger is. Je kunt dan alleen niet ingelogd blijven als je de browser sluit.

Nee, ok, maar ik bedoel dan de pagina die je na het inloggen krijgt.
Wat ik dus bedoel":

code:

Je logt in:
Er word een cookie aangemaakt die zegt: password was ok (zonder te zeggen WELK password)

Daarna ga je door naar de "geheime" pagina waar een script op staat die naar dat cookie kijkt.

Alleen als er in dat cookie staat dat het password ok is dan mag je die pagina bekijken, anders niet :P

Je blijft dus niet ingelogd, maar je geheime pagina is extra beveiligd :D

Snappie?
Dit kan dmv de IF-THEN-ELSE-END IF functies van ASP...

Daarna maak je gewoon een logout button, of een Javascript die die bij het SLUITEN van de pagina werkt (onUnLoad)
en die zet dan in het cookie: password niet ok (ofzoiets)

maandag 8 april 2002 17:48

Acties:

Bosmonster

*zucht*

ook cookies kunnen in JS.. Maar je hebt gelijk.. voordeel is dat de URL nu niet verstuurd kan worden, of uit de referrer achterhaald. Tenminste het kan wel, maar omdat niet ingelogd bent krijg je hem niet te zien.

Nu is dat ook weer niet echt nuttig, aangezien je clientside de check zult moeten uitvoeren en dus kan men alsnog de juiste pagina uit je code kopieren.. Misschien juist wel interessant om te combineren met dat encoded JS gebeuren uit een andere topic (http://gathering.tweakers.net/forum/list_messages/459453/1?limit=25). Dan begint het toch op een redelijk waterdichte JS-beveiliging te lijken.

Ga er maar even vanuit dat meneer geen ASP tot zijn beschikking heeft. Het noemen van ASP en veiligheid in 1 zin wekt bij mij toch een beetje gemengde gevoelens op

maandag 8 april 2002 17:52

Acties:

Verwijderd

Op maandag 08 april 2002 17:48 schreef Bosmonster het volgende:
... Het noemen van ASP en veiligheid in 1 zin wekt bij mij toch een beetje gemengde gevoelens op

Jah?
Asp is server side...deze kun je niet downloaden of bekijken mits je server owner bent

En bij javascript staat het password altijd in de source code...Toch? (encryped kan, maar you know my point)

maandag 8 april 2002 17:56

Acties:

Bosmonster

*zucht*

Op maandag 08 april 2002 17:52 schreef slindenau het volgende:

[..]

Jah?
Asp is server side...deze kun je niet downloaden of bekijken mits je server owner bent

En bij javascript staat het password altijd in de source code...Toch? (encryped kan, maar you know my point)

Hehe.. Windows staat nu niet bekend als het meest waterdichte OS

Maar goed.. het leuke en ingenieuze aan deze methode is nu jusit dat je wachtworod nergens in de source staat, aangezien die direct onderdeel uitmaakt van de URL.

Is nog leuker in combinatie met bijvoorbeeld de JS MD5 methode. (http://pajhome.org.uk/crypt/md5/index.html)

maandag 8 april 2002 20:00

Acties:

Galoptic

Topicstarter

Op maandag 08 april 2002 12:03 schreef Bosmonster het volgende:
maakt niet zoveel uit.. sterker nog, in je functie-call geef je het formelement eme, maar je doet er niks meer mee.. dan zit er nog een loze onsubmit in je form en vage constructies in je script:

theKeeper=window.close()

?

Jep, dat theKeeper=window.close() mag er inderdaad ook wel uit en de onSubmit is verder ook useless. Mede door mijn n00b-zijn, zal 't er nog in staan. Point is that ik gewoon twee waarden (user + password) in een URL wil voegen waar je dan m.b.v. de submit knop naartoe gaat. Hoe realiseer ik dat (evt. met bovenstaande script, in aangepaste vorm)?

maandag 8 april 2002 21:54

Acties:

LuCarD

Certified BUFH

Ik heb ooit eens voor een andere GOT-er een password beveiligin gemaakt....

[topic=419224/1/50]

Werkt wel oke.... Misschien heb je er wat aan....

Programmer - an organism that turns coffee into software.

dinsdag 9 april 2002 08:44

Acties:

Verwijderd

Op maandag 08 april 2002 17:56 schreef Bosmonster het volgende:

[..]

Hehe.. Windows staat nu niet bekend als het meest waterdichte OS

Maar goed.. het leuke en ingenieuze aan deze methode is nu jusit dat je wachtworod nergens in de source staat, aangezien die direct onderdeel uitmaakt van de URL.

Is nog leuker in combinatie met bijvoorbeeld de JS MD5 methode. (http://pajhome.org.uk/crypt/md5/index.html)

Jah, dit is zoiets als encryped password... Is ook leuk

dinsdag 9 april 2002 09:40

Acties:

Galoptic

Topicstarter

Regardless of encrypted passwords fun zijn: hoe krijg ik bovenstaand scriptje werkend? Twee posts hierboven heb ik al toegelicht wat het idee erachter is, maar ik ben te zeer een n00b op dit gebied... Een simpele "location" (bla bla bla) should do the trick, but how?

maandag 15 april 2002 10:51

Acties:

Galoptic

Topicstarter

Hai guys 'n galls,

'k Zit nog steeds met bovenstaande scriptje dat een foutmelding geeft. Wat moet ik er allemaal uithalen en evt. toevoegen om het foutloos te laten werken, want ik kom er zelf niet echt meer uit

... Thanx...

maandag 15 april 2002 11:32

Acties:

cutter

Wannabe i7 fanboy

misschien zie ik het verkeert, maar had je in die 6 dagen niet beter aan je scriptje kunnen werken dan te doen alsof wij je persoonlijke hlpdsk zijn. Niet netjes om gewoon je probleem hier te dumpen vervolgens weg te gaan en een week later eens ff kijken of het scriptje al aangepast is naar jouw wens.

Je krijgt ook een NOW voor je postratio, je start alleen maar topics in W&G en reageert nergens op.