acetox94

Hallo liebe Community,

Ich arbeite momentan an einem privaten Projekt. Ziel des Projekts ist es, einen sauberen, einfachen und flexiblen Weg zur Erstellung einer eigenen Homepage für jeden zu erstellen. Deshalb baue ich gerade einen "Homepage-Kernel". Dieser bietet Funktionen an, die später die "Module" (Die dann den Content der Homepage bereitstellen) nutzen.
Aber ich bleib erstmal bei dem Kernel.
Ich bräucht ein paar Tester, die meinen Kernel auf Verwundbarkeiten etc Testen.
Den Kernel kann man hier beziehen:

http://msc.tweeting-bird.de/kernels/

Die aktuellste Version ist Version 0.1c und bietet schon einige Funktionen:
- User anlegen
- User einloggen
- User aktivieren
- User löschen
- Plugins für den Kernel bauen
- MySQL-Verbindungen und Querys
- Methoden zur Validierung
- User-Methoden (z.B. ob ein user schon existiert etc.)
- Logout (Logout funktioniert über den Parameter '...php?do=logout'
- Konfiguration

Um den Kernel nutzen zu können, muss man lediglich die "kernel.inc.php" in eine beliebige Datei includen.. Die Datei kann sich in einem beliebeigen Ordner befinden (Hauptsache, der Include-Pfad passt^^).
Als nächstes braucht ihr nurnoch das Kernel-Objekt (Auch root-Objekt genannt) anzusprechen. Das Kernel-Objekt ist nach dem Include in dieser globalen Variable verfügbar: Dann müsst ihr noch eine Datenbankverbindung einstellen (Unter kernel/config/config.php). Die Datenbank sollte utf8-bin als Kodierung verwenden. Zudem legt ihr am besten eine Tabelle an namens "users".

Der Kenel ist komplett dokumentiert, jede FUnktion hat ihre eigene Beschreibung, sollt eig alles selbsterklärend sein

Bitte schickt mir evtl Bugs, die ihr gefunden habt, ich steh auch für jeden Verbesserungsvorschlag offen.

Bei Fragen, einfach melden

Bitte schickt mir kein "buuh.. so ein Müll, voll Scheiße.." blah.. wie gesagt, es ist ein privates Projekt und ganz btw, ich bin erst 16 und muss noch viel in Sachen Programmierung lernen

Mfg Fips.

Mister Ad

Frank

Ohne Dokumentation hat das wohl keine Zukunft.
Lerne JavaDoc und erstelle eine ordentliche Dokumentation.

Den Code habe ich noch nicht angeschaut (außer kernel.inc.php).
Der Einsatz von $_GLOBALS zeigt aber allein schon einen deutlichen Konzeptfehler.

Du speicherst aber hoffentlich nicht den Salt in der Datenbank oder habe ich mich da verlesen?

__________________

acetox94

Hallo Frank,

Natürlich speichere ich den Salt in der Datenbank, wo den auch sonst. Der Salt ist für die Anmeldung.. Denn wenn sich ein User registriert hat, Wird zu aller erst ein Salt erstellt. Dieser wird dann ans passwort angehängt und wird dann 5000x mit md5 verschlüsselt (Um "md5-hackern" keine chance zu geben).. Der Hash und der Salt werden dann in der DB gespeichert, und wenn sich ein User einloggen will, wird das gleiche Verfahren angewendet: Der Salt aus der DB wird an das eingegebene Login-Passwort gehängt, 5000x md5 drüber, und wenn dann der resultierende Hash gleich dem Hash aus der DB ist, wird der User eingeloggt..
Zur Dokumentation: Es hat noch keinen Sinn eine ausführliche Doku zu schreiben.. Der Kernel ist noch in der "Baby"-Phase..
Ich arbeite erst seit gut einer Woche dran..
Wenn der Kernels ausgereifter ist, dann werd ich mich hinsetzten und eine Doku schreiben, bis dahin reichen die (ziemlich ausführlichen) Beschreibungen im Quelltext.

Jens P.

GLOBALS ist schonmal eine schlechte Lösung. Warum lässt du über das PW 5000x md5 laufen? Was hat das denn für einen Sinn? Warum nicht 23471 oder 2142 mal? Sehe ich als schwachsinnig an

Flor1an

Über den Unsinn von mehrfach md5 haben wir letztens schon gesprochen. Dadurch erhöht sich die Chance eine Kollision zu haben ... es ist also unnötig das 5000 mal zu machen, nimm nen gescheiten Salt und dann 1 mal md5 drüber.

Das ist ja geil:

KarlEgon

Die Quantität steigert nicht die Qualität

Jens P.

Wie unnötig ist denn diese Funktion? Ich sehe da keinen Sinn drin!

acetox94

@ 5000x md5: Ja, ich wollte es sicher haben.. aber wenn ein Salt und 1x md5 reicht, ok.. kann man ja ändern
@ is_empty(): Der Sinn: empty() gibt TRUE zurück, wenn der Input "0" ist.. wenn bei meiner Funktion "0" als parameter kommt, gibt meine FALSE zurück, was wichtig ist.. ok, das mit dem md5 is unnötig^^
@ GLOBALS: ja, da werd ich ändern.. die kernel.inc.php wird jez dann auch eine Klasse werden.. in der werden die configs geladen (nicht GLOBAL!) und das root-objekt wird nun eine Klassen-Variable in dieser Klasse werden.. Danke.

achja, es wäre besser mir Verbesserungsvorschläge zu geben und nicht einfach zu sagen, dass eine Funktion "unnötig" ist.. das bringt mich nicht weiter...

Mfg

Frank

Wenn du den Salt in der Datenbank speicherst hat er keine Sinn. Wenn jemand die Datenbank hackt dann hat er somit auch den Salt und kann sich schöne gemütliche Rainbow Tables erstellen. Der Salt ist eben dafür da, dass wenn man an das PW gelangt, keine Rückschlüsse ziehen kann, weil der Hash mit dem Salt versehen wurde den man nicht kennt (in deinem Fall dann aber schon). Speichere den Salt irgendwo als Variable in deinem PHP Script (z.B. in einer Config Datei). Dann muss der Angreifer an die Datenbank und an die Config-Datei kommen, um Rückschlüsse auf das Passwort ziehen zu können. Den Salt also in einer Datenbank abzulegen (auch noch in der gleichen Datenbank und Tabelle wie die restlichen Userdaten) ist in diesem Sinne schwachsinnig. Dann lass den Salt lieber weg.

Wenn du gleich anständig in JavaDoc dokumentieren würdest (was nicht großartig anders ist, als das, was du schon gemacht hast, nur dass es Konventionen folgt), dann würdest du dir das Doku-schreiben sparen und hättest schon jetzt, mit gleichem Aufwand eine entsprechende Dokumentation (ähnlich php.net). Solltest du dir schleunigst angewöhnen.

__________________

acetox94

ähm.. ich kann den Salt schlecht in die Config schreiben.. denn für jeden User wird ne eigene Salt generiert..