[PHP] Is dit formulier hackbaar? *

[TheEagle]

PHP:

mysql_connect("$dbhost", "$dbuser", "$dbpass");
  @mysql_select_db("$dbname");
                
$Wachtwoord=md5($Wachtwoord);
                                
$query=mysql_query("SELECT GebruikerID FROM {$websiteprefix}gebruikers WHERE Gebruikersnaam='$Gebruikersnaam' AND Wachtwoord='$Wachtwoord'");
                    
$result=mysql_fetch_object($query);

if(mysql_num_rows($query)=='1') {
  $Sessie->GebruikerID=$result->GebruikerID;
  session_register("Sessie");
}

Ik heb geprobeerd een Inlog script te schrijven. Het wachtwoord en de gebruikers naam komen natuurlijk binnen via een form en de gegevens worden uit een mysql database gehaald.

Nu heb ik eens een minuut of 10 naar mijn beeldscherm zitten staren. En opeens kwam er een vraag in mij op. Kan dit gehacked worden ??? Wie geeft mij een antwoord ?

[ Voor 9% gewijzigd door D2k op 10-01-2003 11:41 ]

[D2k]

ja dat kan
je gebruikt de superglobals niet en geen addslashes

[TheEagle]

Dat addslashes gedeelte lijkt me wel duidelijk. Alleen hoe pas ik in dit scrippie de super globals op de juiste manier toe ???

[weerdo]

ff RTFMén:

It's preferred to go through PHP Predefined Variables instead, such as the superglobals: $_ENV, $_GET, $_POST, $_COOKIE, and $_SERVER. Please read the security chapter on Using register_globals for related information.

[Verwijderd]

ff voor mensen die niet zo lekker door TFM's lezen

zorg dat je $_SERVER['Wachtwoord'] gebruikt ipv $Wachtwoord.

Zeker met het woord Wachtwoord kunnen mensen makkelijk gokken voor je variabele van het wachtwoord. Dan typen ze http://www.jouwserver.nl/login.php?Wachtwoord=dcsdcsdc en dan brute forcen. Dit is nog niet zo erg.
Maar ik weet best zeker, dat jij later in je scripts gewoon kijkt of $sessie gevuld is...

Dit is zeker een te gokken variabele dus ik typ http://www.jouwserver.nl/index.php?sessie=ja en jouw scriptje beweerd dat ik ben ingelogd.

Check dus toch maar de manual, maar ik denk dat je iig nu snapt waar het probleem ligt. En ook waarom de superglobals "verplicht" zijn vanaf php 4.2.0 (geloof ik )

[martinvw]

$_SERVER
zullen we voor $_POST gaan

[justmental]

Als bijvoorbeeld "admin" je administrator account is dan kun je door "admin'#" in te vullen en als password een dummy toch inloggen.
Zoals D2k al zei: addslashes gebruiken.

[Shagura]

D2k schreef op 10 January 2003 @ 11:36:
ja dat kan
je gebruikt de superglobals niet en geen addslashes

Met de standaardinstellingen voegt php toch automagisch slashes toe aan formdata?

[Verwijderd]

Shagura schreef op 10 January 2003 @ 13:18:
[...]

Met de standaardinstellingen voegt php toch automagisch slashes toe aan formdata?

Voor quotes wel dacht ik, maar dat lost niet heel je probleem op natuurlijk.

[Sn3akz]

Om kort te blijven:

Dit formulier staat vreselijk open. Je kan het niet slechter beveiligen.. Voor tips zie bovenstaande posts (en vergeet strip_tags() niet)

[Verwijderd]

../login.php?Wachtwoord=blaat' OR Wachtwoord<>'

[PrinsEdje80]

Ik weet wat addslashed doet. Maar waarom is het noodzakelijk om dit voor een query o.i.d. te gebruiken?

[Spider.007]

/login.php?Wachtwoord=blaat';%20DROP%20$dbname;%20AND%20Wachtwoord='blaat

zou dit werken?

[Speedener]

PrinsEdje80 schreef op 10 januari 2003 @ 21:11:
Ik weet wat addslashed doet. Maar waarom is het noodzakelijk om dit voor een query o.i.d. te gebruiken?

anders kan je dmv de invulvelden de query wijzigen

stel je doet bij een update als naam piet en daarna wil je proberen admin access te krijgen dan kan je dat als volgd doen: piet', level='3

dan date je niet alleen je naam op maar ook je level.

[Erkens]

Spider.007 schreef op 10 januari 2003 @ 21:37:
/login.php?Wachtwoord=blaat';%20DROP%20$dbname;%20AND%20Wachtwoord='blaat

zou dit werken?

nee
simpel weg omdat mysql maar 1 query per keer kan verwerken

[dusty]

Erkens schreef op 10 januari 2003 @ 23:16:
[...]
nee
simpel weg omdat mysql maar 1 query per keer kan verwerken

ga eens in een mysql prompt en tik eens in "show databases;show tables;".

Waar ik mij meer aan erger is de code:

code:

$Wachtwoord=md5($Wachtwoord);

voornamelijk omdat dit dus niet echt netjes is. Je slaat het wachtwoord op in de database, en je vergelijkt het daar ook, laat dan ook de database het wachtwoord versleutelen ie: where .... AND Wachtwoord=password('$Wachtwoord')

[Erkens]

dusty schreef op 10 januari 2003 @ 23:30:

[...]

ga eens in een mysql prompt en tik eens in "show databases;show tables;".

maar vanuit php niet
althans mij is dat nog nooit gelukt

Waar ik mij meer aan erger is de code:

code:

$Wachtwoord=md5($Wachtwoord);

voornamelijk omdat dit dus niet echt netjes is. Je slaat het wachtwoord op in de database, en je vergelijkt het daar ook, laat dan ook de database het wachtwoord versleutelen ie: where .... AND Wachtwoord=password('$Wachtwoord')

wat maakt het btw uit of je in php de md5 berekent of in mysql
daarnaast heb je op deze manier het originele password nergens meer in je php script wat ook een voordeel kan zijn als er ergens per ongeluk een bug in hebt