[php] Beveiliging site

[Verwijderd]

ik ben bezig met een site en met de beveiliging daar van maar nou was mn vraag hoe veilig is het zo

ik login via een script welke het wachtwoord en gebruiker controleerd. deze staan beide als md5 code in de php file. en als het wachtwoord en gebruiker ok zijn wordt er een sessie gestart waar alle volgende scripts naar kijken.

is dit veilig of is dit zo lek als een mandje ?

[ Voor 1% gewijzigd door Verwijderd op 10-10-2003 17:44 . Reden: tja spellen is ook moeilijk ]

[gorgi_19]

Lees P&W FAQ - Hoe beveilig ik een website? ook eens.

[Akerboom]

-

[ Voor 186% gewijzigd door Akerboom op 10-10-2003 18:49 ]

[Verwijderd]

Wat is het nut van een gebruikersnaam in MD5 te plaatsen???

[Verwijderd]

was meer van de gedachte dat het dan niet als pure text in het php bestand staat.. en md5 was niet terug te coderen is me wel eens gezegt

[.oisyn]

Ja maar waarom de username? Daar is toch niets geheims aan? En ik neem aan dat je wel wilt zien wat de usernames van de geregistreerde gebruikers zijn, of niet?

[Verwijderd]

er komen op die site alleen een paar beheerders accounts welke de database kunnen veranderen. de standaard webserver account heeft alleen select rechten in de mysql db

[cdgrit]

Dit lijkt me zéér veilig!

[Verwijderd]

cdgrit schreef op 10 October 2003 @ 18:49:
Dit lijkt me zéér veilig!

beter te veilig dan niet..
ik laat alle query's controleren op bepaalde woorden zoals insert, drop enz.
en ik zal maandag met mysql_escape_string alle query's laten controleren

[faabman]

Verwijderd schreef op 10 October 2003 @ 18:56:
[...]


beter te veilig dan niet..
ik laat alle query's controleren op bepaalde woorden zoals insert, drop enz.
en ik zal maandag met mysql_escape_string alle query's laten controleren

Volgens mij hoef je je queries helemaal niet op die woorden te laten filteren, als je er maar voor zorgt dat alles tussen quotes blijft staan (een qoute dus ook altijd vervangen door een dubbelle qoute) en een numerieke waarde ook echt numeriek blijft. stored procs in sqlserver vangen dit verhaal automagisch op, misschien heeft mysql ook die mogelijkheid

je usernames hashed in je db zetten lijkt me nutteloos, wachtwoorden kan ik nog inkomen, al heb ik eens een app gezien waarin een one-way hash stond, dus, het wachtwoord was niet terug te vragen, lekker handig als je gebruikers hun wachtwoord vergeten

[Verwijderd]

FvKnijff schreef op 10 October 2003 @ 19:55:
[...]


je usernames hashed in je db zetten lijkt me nutteloos, wachtwoorden kan ik nog inkomen, al heb ik eens een app gezien waarin een one-way hash stond, dus, het wachtwoord was niet terug te vragen, lekker handig als je gebruikers hun wachtwoord vergeten

Stuur ze een nieuw wachtwoord aan de hand van hun opgegeven e-mail account. Bij nieuwe gebruikers een activatie code sturen. Is toch niet zo dom?

[MisterData]

Hou je er rekening mee dat het wachtwoord als plain-text over het net gaat? Dus met een beetje sniffer kan ik zo het wachtwoord van m'n buurman zien... Hoe los je dat op? Zoek es met Google op steekwoorden als MD5 challenge icm PHP

Voor een voorbeeld dat gebruik maakt van client-side MD5-encryptie met een door de server bepaalde hash kun je vinden op http://v2.tragbenchmark.nl/login.php

[Willem2]

Je kunt de login ook over HTTPS laten lopen; dan wordt het iig niet als plaintext verstuurd...
MD5 gebruiken en vervolgens login via HTTP klinkt mij een beetje als een vlag op een modderschuit in de oren!

[djluc]

Verwijderd schreef op 10 oktober 2003 @ 18:56:
[...]
beter te veilig dan niet..
ik laat alle query's controleren op bepaalde woorden zoals insert, drop enz.
en ik zal maandag met mysql_escape_string alle query's laten controleren

Heeft de gebruiker waaronder de website loopt dan rechten om drop statements uit te voeren?

[Verwijderd]

alleen de beheerders accounts hebben die rechten voor drop en dergelijke