PHP

Accès sécurisé > Besoin d'avis

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Accès sécurisé > Besoin d'avis

AlphaZone

Bonjour,

Actuellement de développe un site en PHP. Celui-ci contiendra une partie privée.

Etant donné que je ne sais pas trop comment obtenir une sécurité optimale pour mes pages, j'aurais aimé connaitre vos avis concernant ma méthode :

Code :

<?php
session_start(); // Démarrage session
include_once("includes/config.php" );
include_once("includes/fct.php" );
if(isset($_SESSION["ident_login"]) && isset($_SESSION["ident_pass"]))
{
$link_ident = connect(HOST, LOGIN, PASS);
if(!$link_ident)
echo mysql_error();
else
{
if(!select_db(DATABASE, $link_ident))
echo mysql_error();
else
{
$req = "SELECT login, pass, session FROM ".$tbl_admins." WHERE login='".$_SESSION['ident_login']."' AND pass='".$_SESSION['ident_pass']."' AND session='".$_GET['sid']."'";
$sql = requete($req, $link_ident);
if(!sql)
echo mysql_error();
else
{
if(mysql_num_rows($sql) == 1)
{
// Affichage page HTML
include("includes/header.html" );
echo "";
?>
<?php
echo "";
include("includes/footer.html" );
}
}
}
}
}
?>

Comment vous aurez pu le remarquer, j'ai un répertoire includes dans lequel je stock des fichiers important comme le "config.php". J'aurais également aimé quel chmod je dois mettre pour éviter toute intrusion dans ce répertoire ???

Merci d'avance

Message édité par AlphaZone le 19-07-2005 à 11:27:15

Publicité

afbilou

pouet your life

Un .htaccess dans le dit repertoire pour interdire l'acces via http.
PHP ayant acces au systeme de fichiers par le disque et non par http les inclusions se derouleront sans probleme.

plainsofpain

Pingouino's lover

pis les pass en clair spa cool, un hachage en md5 minimum je dirais

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

AlphaZone

plainsofpain a écrit :

pis les pass en clair spa cool, un hachage en md5 minimum je dirais

Je ne parle pas de cryptage. J'ai crypté le mot de passe bien avant cette page (Pas fou moa ^^).

Je voulais juste savoir si ma méthode était fiable ou pas.

plainsofpain

Pingouino's lover

Ah ben si c'est déjà crypté alors ... concernant la sureté de ta méthode, je ne suis pas expert ^^'

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

bl@p_psx

Admin G15-france

une petite verification prealable des variables de sessions et surtout de ta variable GET ... ( par definition, verifie toujours la variable GET

exemple :

Code :

if(IsSet($_GET['a'])) $a = htmlentities($_GET['a']); else $a = '';

du moin c'est ce que je fait pour les variables GET ( je fait pareil sur les variables de SESSION ... ( ca permet aussi de travailler avec une variable plus simple et d'eviter les erreurs undifined ... )

@+

---------------
:Moultiplayers:.:Quatuor Chevalier:.:Admin G15-france.com:.:Wiki -G15-france:.:-Papa-:.

micfont999

Simplement Moi

bl@p_psx a écrit :

une petite verification prealable des variables de sessions et surtout de ta variable GET ... ( par definition, verifie toujours la variable GET

exemple :

Code :

if(IsSet($_GET['a'])) $a = htmlentities($_GET['a']); else $a = '';

Je passerais en POST perso, sinon je suis d'avis de faire quand même un htaccess qui est plus sécurisant, mais carrément moins beau au niveau de l'identification..
Mais sinon ça m'a pas l'air mal
ça va etre un gros site qui risque d'avoir beaucoup de piratage?

[:magnasuprema]

AlphaZone

Merci beaucoup les gars.

Non c'est un petit site enfin la partie public. La partie privée se corse un peu ^^

micfont999

Simplement Moi

AlphaZone a écrit :

Merci beaucoup les gars.

Non c'est un petit site enfin la partie public. La partie privée se corse un peu ^^

Donc tu doit quand même pas avoir une grosse sécurité, ce que tu à fait est déjà pas mal va.. :whistle:

sielfried

Et puis comme d'hab un coup de mysql_real_escape_string sur les variables de la requête ça fait pas de mal, surtout pour le $_GET['sid'] facilement modifiable.

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

Publicité

AlphaZone

sielfried a écrit :

surtout pour le $_GET['sid'] facilement modifiable.

Justement, si un petit malin s'amuse à modifier le PHPSESSID, il se retrouvera sur la page login. Si tu regarde ma requete, je vérifie tout : Login, Pass et le SID.

Si vous voyez dans mon code, une faille, dite le moi. Merci

sielfried

Et s'il se débrouille pour que $_GET['sid'] ressemble à un truc du genre :

Code :

' OR 1=1 LIMIT 1 --

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

afbilou

pouet your life

Bah dans l'os

micfont999

Simplement Moi

Bah il nous fait pas un site pour une banque non plus.. Faut déjà en vouloir pour pirater un site perso, je ne m'amuse pas à ça personnellement...

plainsofpain

Pingouino's lover

Y a bien un neuneu qu'a piraté le site spreadfirefox !

Si je sais qui c'est un jour, il passera un sale quart d'heure !

Message édité par plainsofpain le 20-07-2005 à 13:36:27

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

micfont999

Simplement Moi

lol, c'est vrai j'ai eu un babane qui à pirater mon site lol... Mais lui part contre j'ai trouvé et il à faillit finir chez les flics.. hihi, il recommencera pas de si tot...

AlphaZone

sielfried a écrit :

Et s'il se débrouille pour que $_GET['sid'] ressemble à un truc du genre :

Code :

' OR 1=1 LIMIT 1 --

Il ferait comment pour modifier cela ? Je suis curieux.

micfont999 a écrit :

Bah il nous fait pas un site pour une banque non plus.. Faut déjà en vouloir pour pirater un site perso, je ne m'amuse pas à ça personnellement...

Ce n'est pas un site perso. C'est pour une petite entreprise.

micfont999

Simplement Moi

oki oki, mais ta déjà pas mal de sécurité.. elle est hyper connue ton entreprise la? elle va engendrée plein de piratage?

FlorentG

Unité de Masse

AlphaZone a écrit :

Il ferait comment pour modifier cela ? Je suis curieux.

Vu que c'est en $_GET, c'est ultra-culcul

micfont999

Simplement Moi

FlorentG a écrit :

Vu que c'est en $_GET, c'est ultra-culcul

Pour toi
Explain voir, j'aimerais savoir aussi please, je connais pas cette méthode... Merki d'avance.. :hello:

afbilou

pouet your life

bah suffit d'aller a l'adresse suivante :
_http://sonsite.fr/index.php?sid='%20OR%201=1%20LIMIT%201%20--

Message édité par afbilou le 20-07-2005 à 14:32:05

FlorentG

Unité de Masse

Voilà, tout ce qui est en GET figure dans l'URL [:spamafote]

afbilou

pouet your life

D'une maniere generale tu dois filtrer TOUTES les données ($_GET, $_POST, $_FILE) etc qui sont envoyées par un client.

Les expressions regulieres sont tout indiquées pour faire cela.

AlphaZone

micfont999 a écrit :

oki oki, mais ta déjà pas mal de sécurité.. elle est hyper connue ton entreprise la? elle va engendrée plein de piratage?

Non. C'est une entreprise qui travail dans un rayon de 40km environ. Il n'y a que 2 personnes.

afbilou a écrit :

bah suffit d'aller a l'adresse suivante :
_http://sonsite.fr/index.php?sid='%20OR%201=1%20LIMIT%201%20--

Ah ok. Merci.

J'ai utilisé une fonction proposé sur le site de nexen qui utilise mysql_real_escape_string et cette fois je vais formaté ma requête pour chaque page.

AlphaZone

J'ai un problème avec mon fichier logout.php

J'ai beau détruire la session, j'arrive à accèder aux pages juste en repassant le SID de ma session en GET.
Dites-moi ce que je peux faire, svp.

Voici le code :

Code :

<?php
session_start();
$_SESSION = array();
session_destroy();
header("location: index.php" );
?>

bl@p_psx

Admin G15-france

ne passe pas le sid en GET, ne le passe pas du tout ... enfin, je dis ca, j'ai rien dis ...

---------------
:Moultiplayers:.:Quatuor Chevalier:.:Admin G15-france.com:.:Wiki -G15-france:.:-Papa-:.

AlphaZone

bl@p_psx a écrit :

ne passe pas le sid en GET, ne le passe pas du tout ... enfin, je dis ca, j'ai rien dis ...

Pourquoi donc ? Il y a des sites qui le font.

bl@p_psx

Admin G15-france

un petit peu de lecture sur les sessions
http://www.manuelphp.com/php/ref.session.php

@+

ps: je le fait parceque le SID est recuperable sans le passer en argument et que, je n'aime pas voir le sid dans une url ... mais c'est juste un choix, loin de moi l'idée d'argumenter pour ou contre ...

---------------
:Moultiplayers:.:Quatuor Chevalier:.:Admin G15-france.com:.:Wiki -G15-france:.:-Papa-:.

micfont999

Simplement Moi

pourquoi tu peux pas la passer en post,,
??

AlphaZone

bl@p_psx a écrit :

Dans le site que tu m'as passé , j'ai pu lire ceci :

Citation :

Le module de session supporte les deux méthodes. Les cookies sont optimaux, mais comme ils ne sont pas sûrs (tous les internautes ne les acceptent pas), ils ne sont pas fiables. La seconde méthode place l'identifiant de session directement dans les URL.

Je dois en déduire quoi exactement ?
Quelle méthode serait la mieu adaptée ?

Sinon j'voulais vous remercier pour votre aide, c'est super sympas

FlorentG

Unité de Masse

La meilleure méthode, c'est de passer par SSL

bl@p_psx

Admin G15-france

ce que je veux dire c'est qu'il n'y a pas besoin de passer le SID dans l'url pour recuperer les variables de sessions ...

@+

ps: pour le SSL :jap:

Message édité par bl@p_psx le 21-07-2005 à 11:45:24

---------------
:Moultiplayers:.:Quatuor Chevalier:.:Admin G15-france.com:.:Wiki -G15-france:.:-Papa-:.

AlphaZone

Ok.

Merci encore pour vos aides!

Publicité

FORUM HardWare.fr

Programmation

PHP

Accès sécurisé > Besoin d'avis

Sujets relatifs
Besoin d'aide (pour rendre ma page potable sur firefox)	[Débutant] Besoin d'une explication en HTML
vos avis sur un soft que j'ai dev	Script CGI > Besoin d'aide
votre avis sur mon premier script php (100 lignes)	Spip le code source ! votre avis
[access] Formulaire pour choisir chemin d'acces d'un fichier	Probleme temps d'acces
Besoin d'aide sur l'utilite d'une equation logique	besoin d'aide pour faire un exe en liaison avec Flash (C++Builder)
Plus de sujets relatifs à : Accès sécurisé > Besoin d'avis

Page générée en 0.140 secondes