Login скрипт

Правя си логин скрипт за една секция на моят сайт. Разбирам нещо от php, но не съм професионалист. Та съм се насочил да направя скрипта със сесия. Попаднах на един скрипт който ми предлага следното:
Когато потребителя се логне регистрирам в сесия негоеото потребителско име и после само следя дали има регистрирана сесия:
if(isset($_SESSION["user"])){ echo"здравей $_SESSION['user']";}
else{ echo"трябва да се логнете";}
Та въпроса ми е доколко ефикасен е този метод, ако има някой по-добър моля ви кажете.

Принципно това е пътя, само че ще ти се наложи да го разшириш, да до го секюрнеш и да си 100% убеден че този който клика е този за когото го мислиш. Внимавай с sql injections, xSS, hijacking и т.н.

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Ще ми обясниш ли по-подробно какво имаш предвид под това да го разширя??? И как да го направя?

само едно $_SESSION['user']
никога не е достатъчно
записвай му ИП (или друго уникално индентифициращо инфо, неподлежащо на манипулация), може и криптираната парола и после да проверяваш дали по някаква случайност на някой който си има същото име в сесията дали случайно не му се е паднала друга парола ;-)

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

хмм, тва с ИП-тата дали е добро? щото само съм чувал, че АОЛ усерите за всеки рекуест получавали различно ИП (или се бъркам нещо)?

Just a genius

Като получават различно IP да правят като вятъра ;-))))
Или да си вземат нормален доставчик. Как иначе ще ги предпазиш от хиджак на сесията ?

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

миии то добре като вятъра ама не беха ли няколко (десетки) милиона (или пак се бъркам)?

Just a genius

Значи е добре да записвам в база данни ip-то и после да сверявам потребителско име, парола и ip дали съвпадат и чак тогава да давам достъп до страницата. Само не разбрах ip-то трябва да го запиша в сесия и после да го сверявам с това което е записано в базата данни или требва да го сверявам с $REMOTE_ADDR???

Ще ми обясниш ли по-подробно какво представлява sql injections, xSS, hijacking. И ще ми кажеш ли как да се предпазя от тях???

Не, ако те интересува, потърси в гугъл, пише всичко

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Само не разбрах това с ip-то добра идея ли е или може да забрани достъпа до сайта на хора от някои доставчици???

Ако са български и в 99% от чуждите не.
За АОЛ - това е някаква тяхна измишльотина да вгорчават живота на програмистите ;-)

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

недей да използваш IP за нищо друго освен за статистика (разбирай брояч защото дори за най-обикновенна анкета не е надежно)

и недей да си пилееш времето с писане на "непробиваеми" скриптове - защото такова нещо няма и никога няма да има :-)

ако те интересува темата прегледай тази статия:
[линк]

кажи ми какво можеш най добре да пробиваш (sql inj, xss, etc.), ще ти дигна един скрипт, като го пробиеш получаваш каса бира (20 бутилки по половин литър, каменица, загорка, ариана, шуменско - каквото си избереш)

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Немога да схвана смисъла (да не би да твърдиш че си открил 100% сигурна защита ???)

сега сериозно - темата за сигурността е доста обширна и не се решава само с написване на перфектен скрипт а е пряко свързана с операционната система (тука не става дума за WINDOWS), конкретният сървър (www, sql, ftp, ssl демон), кадърността на системният администратор, физическата реализация на мрежата и още доста други

самите протоколи IP, TCP (както и всички им производни вкл. PPP) не поддържат защита на данните (всеки може да рутира трафика между две произволни точки в мрежата през собствената си машина и да прави с него всичко - в мрежата е пълно с програми който го правят) - от тука следват и много видове атаки (за доста от който трябва просто ти да се логнеш в дадена система за да влезе с тебе и атакуващият)

Мисля че бях съвсем ясен и конкретен.
Ще напиша скрипт, които не можеш да пробиеш. Става дума за скриптовете а не за всичките неща, които се движат покрай един сървър.

Но при достатъчно адекватна администрация, нали се сещаш кое ще пробиеш. А за "админите" ламери всички знаем и сме виждали уникалните им творения.

Ако ставаше с едно поглеждане да падат сървъри нали нямаше да има интернет бе. Хората се грижат за секюритито си редовно.

Та приемаш ли предложението :
Казваш ми какъв скрипт да ти драсна - логинче някакво примерно, и да видим ще можеш ли да ме прецакаш. Ще направя всичко което мислиш че ще трябва - ще кликам на линкове с xSS и т.н. (без да ти давам юзера и паролата разбира се). Или да ти направя обикновен юзер и пасс, а ти да станеш админ...

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

или аз не се изразих правилно или ти не щеш да ме разбереш

няма нещо като адекватна администрация - при система с отдалечен достъп която използва TCP/IP протокол за login ВИНАГИ може да се подслуша трафика и да се извадят пароли, потребителски имена и каквото там се предава между клиента и сървъра дори последните версий на dnsspoof вадят пароли направо от ssl сесий

незнам как да ти го обясня - не може да пратиш данни по мрежата и да гарантираш ще никой не може да ги запише (това е все едно да пратиш писмо - аналогово :-) с плик и марка - и да гарантираш че никой няма да го прочете)

а и доста бъркаш ако мислиш че нещата които се движат около един сървър няма да ми помогнат да ти пробия скрипта (ако проникна в машината с твоя акаунт или (не)дай боже с root паролата изобщо няма да ми трябва) тук точно е мястото на аднина да си следи трафика (дали не минава през съмнителни машини, дали някой не се опитва да се логне с чужд акаунт, да следи за нови версий или пачове на сървърите който ползва)

прегледаи тази кусова работа темата е - СИГУРНОСТ, ЗАЩИТА НА КОНФИДЕНЦИАЛНАТА ИНФОРМАЦИЯ И ЕТИЧЕСКИ ПРОБЛЕМИ В ИКТ - може би ще ти просветне за какво точно ти говоря

[линк]

Ако имаш връзки към още статии по въпроса ще съм ти благодарен ако ги постнеш.

Внамавай ро6ав, тука говориш с хакер от световна величина. Човека чете TCI / IP пакетите като отворена книга LOL

Бе то и аз чета хекс код и деасемблирам на ум, даже не ми трябва лист и химикалка. и мога да си говоря със щайгата на бинарен език

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy