ChewyF5

Hallo,

Eine Frage zu SESSIONS und SECUITY.

Mein Modulsystem http://www.phpfriend.de/ftopic43466.html ist mittlerweile fertig ( das muss keine grossen sicherheitsfunkionen erfüllen, da es nur in einem geschlossenen Intranet laufen muss)

Aber nun hab ich mir gedacht man könnte dieses System ja nehmen und damit ein MiniGroupware schreiben (Bookmarks, Adressbuch, Kalender... )
Wäre natürlich schön wenn dieses System im I-Net läuft.

Nun hab ich damit angefangen mit sessions zu arbeiten um den Login sicher zu machen.

Kann man noch etwas machen um das System weiter abzusichern?

PS.: ich möchte das System gerne selber programmieren und keine fertig Lösung benutzen (Ihr wisst ja, selber programmieren macht schlau!)

__________________
ChewyF5

-- A strange game. The only winning move is not to play --
WAR GAMES 1983

Mister Ad

Löblich. Aber ohne Code zu sehen, fällt es mir sehr schwer, mir irgend welche Tips aus den Fingern zu saugen.

ChewyF5

@meikel

users = {id,username,passwort,lastlogin(timestap)}

Der Login findet über eine Datenbanktabelle statt wo username und passwort drinstehen
ID wird in einer $Session['id'] gespeichert über die id findet er in anderen tabellen z.B. links

links = {id,url,discription,userid}

die passenden einträge.

die verknüpfng sieht so aus users.id = links.userid

Ausserdem arbeite ich in meinen scripts mit $_request um Formvariablen ala button auszuwerten

ansonsten sind sämliche forms mit $_post-übergaben

das wars eigentlich

kann man noch irgendwas machen ?

__________________
ChewyF5

-- A strange game. The only winning move is not to play --
WAR GAMES 1983

Die Frage ist doch, wie es ausprogrammiert wurde; dadurch kommen doch erst die meisten Fehler zustande.
Prüfst Du sämtliche von aussen kommenden Parameter gründlich und für den Verwendungszweck geeignet ab? Sind z.B. die Datenbankabfragen gegen sql-injections abgesichert?

ChewyF5

sql-injections ???

Was ist das ???

(Ich weiß sowas sollte man wissen )

__________________
ChewyF5

-- A strange game. The only winning move is not to play --
WAR GAMES 1983

robo47

http://de.wikipedia.org/wiki/SQL-Injection

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

ChewyF5

@robo47 & VolkerK

Danke dafür, werde mein Programm entsprechend anpassen.
(und schon wieder was gelernt )

Gibt es noch weitere Dinge die ich beachten sollte ???

__________________
ChewyF5

-- A strange game. The only winning move is not to play --
WAR GAMES 1983

usw.

Mit Deiner Metasprache kann ich nix anfangen. PHP Script, CREATE TABLE und Link auf Dein phpinfo bitte.

Hier mein Onlinebeispiel:
PHP4: http://test.php-help.info/auth-4/
PHP5: http://test.php-help.info/auth-3/

So sieht die Comfig aus:
http://test.php-help.info/phpinfo.php

PHP4: http://test.php-help.info/auth-4/

uff ist das unübersichtlich ;[
kann es ausserdem sein das der konstruktor da irgendwie noch auf undefinierte vars zugreift?

gruss
Sike