PHP Sicherheit

Hi.
Ich habe einige PHP Scripts für Auftragseingänge geschrieben, was auch wunderbar klappt.
Wie kann es machen, dass das Script nur von einer vorher festgelgten IP gestartet werden kann?

[phyton]

Hey halskrause!
das skript könnte so aussehen:

//IP Adresse ermitteln
$ip = $_SERVER["REMOTE_ADDR"];

//IP vergleichen
if($ip=="92.102.87.140")
{
  //eigentlicher code....
}
else {
  echo "Sie sind nicht berechtigt dieses Skript auszuführen.";
} 

liebe grüße

phyton

[McSodbrenner]

Hi,

$_SERVER['REMOTE_ADDR'] abfragen. Dort steht die IP des Clients drin. Die Abfrage packst du an den Anfang deines Scripts. Wenn du dann einen unerlaubten Zugriff hast, beendest du das Script einfach mit einem die()

Gruß,
Christoph

[halskrause]

Danke.
Macht es eigentlich Sinn, wenn ich zusätzlich noch einen Passwort verlange, dass der Scriptausführer mit per "Post" oder "Get" schicken soll?
Das könnte man ja auch abfragen...

Oder ist die "IP Sache" sicher genug?

[phyton]

auf jeden fall wäre mit passwort abfrage noch besser. allerdings hätte ich das passwort dann mit sessions und post weitergegeben und anschließend überprüfen lassen.


lg
phyton

[BlackWolf]

Sollte eigentlich sicher genug sein, da REMOTE_ADDR soweit ich weiß nicht fälschbar ist.

Schaden wird eine Passwortabfrage aber mit Sicherhheit nicht. Wenn dann aber über POST, sonst speichert dir der Browser mal eben fröhlich den eingegebenen Wert als besuchte Seite

mfg

[phyton]

blackwolf, denk daran, dass man mit einem proxy-server auch die ip adresse ändert. probiers einfach mal auf und lass dir dann mal deine REMOTE_ADDR ausgeben. du wirst sehen, dass sie dann anders ist.

[Sirke]

Die IP ist heutzutage kaum noch sicher, da diese nur anhand der TCP/IP Pakete bestimmt wird und daher wäre ein IP-Spoofing Angriff sehr gut möglich!

Daher wäre eine IP in Zusammenhang mit einem Request sicherlich die beste Variante, sofern man auf SSL mit gegenseitiger Authentifikation verzichten muss!

[phyton]

meine rede! :P

[halskrause]

Danke für die nützlichen Tips.

Muss ich mir eigentlich Sorgen darüber machen, dass irgendjemand den Script runterladen kann? Denn dann wäre ja die Sicherheit für die Katz. Da sind ja Passwörter usw... alles drin.

Gibt es vielleicht eine "Checkliste", die dieses Thema behandelt. Oder Tips und Tricks, wie man PHP Sachen sicherer machen kann?

[dr.e.]

-> PHP-Sicherheit: PHP/MySQL-Webanwendungen sicher programmieren: Christopher Kunz, Stefan Esser: Amazon.de: Bücher