[PHP] Form submit zonder sql veilig?

[mrbombastic]

Ik heb een spel gemaakt, waarbij steeds een aantal waarden, sommige hidden, sommige die door de gebruiker worden ingevoerd, worden doorgestuurd.

Nu heb ik mijn form method al wel op post gezet, maar als je de pagina lokaal opslaat, kan je dat natuurlijk weer makkelijk veranderen naar een get.
[Vandaar dat ik in mn form nu ook nog een get heb staan om te testen.]

Ik heb daarom ook een paar checks ingevoerd in de PHP code die de gebruiker dus niet kan zien, maar het zou kunnen zijn dat ik niet overal aan gedacht heb, of niet alle lekken weet te zitten.

Mijn vraag is of jullie een kijkje zouden willen nemen op mn site en te kijken of er nog lekken in mn beveiliging zitten.

Site

[Verwijderd]

opzich ok,
maar je heoft je niet druk te maken over de veiligheid van dit....

gebruik post veder niets aan de hand!

(ga je druk maken over beveiliging als je intranet bouwt of een grote website)

[Osiris]

Verwijderd schreef op 02 maart 2004 @ 15:48:
opzich ok,
maar je heoft je niet druk te maken over de veiligheid van dit....

gebruik post veder niets aan de hand!

(ga je druk maken over beveiliging als je intranet bouwt of een grote website)

Ik denk eerder dat hij anti-cheaten ofzo bedoeld

Anders snap ik het ook niet

[Verwijderd]

lel anti cheat bij zo'n spelletje?

gewoon op post zetten lijkt me het beste

[mrbombastic]

Osiris schreef op 02 maart 2004 @ 15:49:
[...]

Ik denk eerder dat hij anti-cheaten ofzo bedoeld

Ja dat bedoel ik.

[JayVee]

Om te voorkomen dat mensen een GET sturen kan je natuurlijk gewoon kijken of er iets in $_GET staat. Beter nog: Alleen $_POST bekijken.

En trouwens, waarom zou je de post niet kunnen faken? ;-)

[TRON]

Is ook nog te omzijlen natuurlijk.

Wat je beter kan doen is de betreffende informatie gecodeerd versturen.

[Verwijderd]

met alle respect van dien, maar het gaat om een spelletje niet om een inmens grote intranet site of internet site.

Doe niet de moeite voor dit maar leer van het scripte, en ga niet de zooi super lope beveiligen...je komt er hoe dan ook toch wel door als je wil

[ Voor 1% gewijzigd door Verwijderd op 02-03-2004 15:57 . Reden: typo ]

[Noork]

je kunt http referrer ook gebruiken. Als hij niet van de juiste pagina komt, kun je de gegevens gewoon niet invoeren.

Als het echt moet kun je ook MD5 gebruiken voor encryptie.

[mrbombastic]

Verwijderd schreef op 02 maart 2004 @ 15:55:
Doe niet de moeite voor dit maar leer van het scripte, en ga niet de zooi super lope beveiligen...je komt er hoe dan ook toch wel door als je wil

Voor mijn gevoel heb ik het redelijk beveiligd.
Ik heb alle elementen die je zou kunnen wijzigen in een formule gegooid en daar komt dan ergens een getal uit tussen de -10^10 en +10^10 dat ook meegestuurd wordt. Als de pagina verzonden wordt, dan wordt dat getal weer gecontroleerd met de formule.
Het lijkt me vrij sterk dat iemand daar achter komt.

[Verwijderd]

hoop dat je die formule niet door js oid laat berekenen of via een hidden form element meegeeft.
referer testen lijkt mij simpelste en beste oplosing..

[TRON]

Noork schreef op 02 maart 2004 @ 15:57:
je kunt http referrer ook gebruiken. Als hij niet van de juiste pagina komt, kun je de gegevens gewoon niet invoeren.

Als het echt moet kun je ook MD5 gebruiken voor encryptie.

Handig


Behalve dat je MD5 niet kan decoderen, worden de scores weer zo moeilijk op te tellen

[Verwijderd]

TRON schreef op 02 maart 2004 @ 16:08:
Behalve dat je MD5 niet kan decoderen, worden de scores weer zo moeilijk op te tellen

Hoogste MD5 score weergeven

[Noork]

order by MD5_score

ja niet echt over nagedacht, dat gaat niet werken natuurlijk.

[Verwijderd]

zorg eerst dat de javascript errors eruit zijn voordat je gaat praten over beveiliging

[mrbombastic]

Verwijderd schreef op 02 maart 2004 @ 16:33:
zorg eerst dat de javascript errors eruit zijn voordat je gaat praten over beveiliging

Javascript errors? Welke browser gebruik je?
Met IE6 heb ik nergens last van.

[Verwijderd]

mrbombastic schreef op 02 maart 2004 @ 17:13:
[...]


Javascript errors? Welke browser gebruik je?
Met IE6 heb ik nergens last van.

gebruik je ook de script debugger van IE?
in je functie: change1(which)
doe je altijd een getElementById('div1') en div2 terwijl deze er niet altijd zijn
(ligt er volgens mij aan of de computer/speler aan zet is)

[crisp]

Waarom bewaar je dat soort gegevens niet serverside in een sessie?

JS is natuurlijk ook altijd te omzeilen of te manipuleren...

[ Voor 33% gewijzigd door crisp op 02-03-2004 19:19 ]

[TRON]

Verwijderd schreef op 02 maart 2004 @ 16:10:
[...]


Hoogste MD5 score weergeven

Ja logisch dat werkt dus niet he dan moet je een lijst maken met MD5-scores, wat dus inhoudt dat men die strings ook kan invoeren.

Of je plakt er nog een andere var aanvast.

[mrbombastic]

Een http referer werkt inderdaad erg effectief.
Het blijkt alleen dat sommige firewalls hier problemen mee hebben, bijv Norton Firewall.

[crisp]

mrbombastic schreef op 03 maart 2004 @ 00:06:
Een http referer werkt inderdaad erg effectief.
Het blijkt alleen dat sommige firewalls hier problemen mee hebben, bijv Norton Firewall.

Werk dan liever met een challenge (wederom ism een sessie); referrers zijn inderdaad onbetrouwbaar.