PHP

Petite vérif sur mon script de session, svp ?

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Petite vérif sur mon script de session, svp ?

juanetfanny

Bonjour à tous,

voilà, je vous soumet mon script d'identification de session (enfin une partie). Ca fonctionne bien, je n'ai pas de pb dans l'utilisation quotidienne mais il y a 2 p'tits trucs qui me chagrinent

1) Au niveau sécurité, est-ce que le script présente des aberrations, est-ce que c'est à peu près propre et un poil optimisé ?

2) j'ai 2 fois la mention "session_start();", est-ce que ça peut gêner ?

Merci de vos contribs. Même si ça tourne, ça ne veut pas dire que c'est bien codé :pt1cable:

Voici le ch'tit script :

Code :

<?
session_start();
if (session_is_registered('identifiant'))
{
// déjà connecté...
header('location: console.php?' .session_name(). "=".session_id());
}
// si le formulaire a été validé
$test = (isset($_POST['action'])) ? $_POST['action'] : Null;
if ($test)
{
include('connect.php');
$query_admin = "SELECT * FROM admin";
$result_admin = mysql_query($query_admin);
/* On récupère le nombre d'enregistrements */
$nb = mysql_numrows($result_admin);
// On récupère les valeurs du formulaire
$log_admin = $_POST['identifiant'];
$pass_admin = $_POST['mdp'];
// On vérifie si le login existe dans la table
while ($val = mysql_fetch_array($result))
{
$login_table = $val["login"];
$password_table = $val["password"];
if ($login_table == $log_admin && $password_table == $pass_admin)
{
// Si les password et login sont valides
session_start(); // on démarre une session
// On enregistre les variables login et
// password dans la session en cours
$_SESSION['identifiant'] = $log;
$_SESSION['mdp'] = $pass;
//Redirection sur une page pour afficher le résultat
mysql_close();
header('location: console.php?' .session_name(). "=".session_id());
}
}
// Si on sort de la boucle : l'identification a échouée
mysql_close();
header('location: auth_fail.php');
} // Fin du traitement après validation du formulaire
?>
... ici c'est la partie contenant le formulaire

:jap: :jap:
:hello:

Publicité

Mara's dad

Yes I can !

Pas la peine de lire toute la table admin...
Vérifie en premier que $log_admin ne contienne que dé caractères autorisés et en nombre correct (via un regexp par exempel), et ensuite tu fais une requête avec un where sur le login. Si t'es parano, avant de vérifier le MDP, tu vérifie que la requête te retourne exactement 1 enregistrement.
Rmq: Tu peux aussi vérifier le MDP via une regexp...

---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.

juanetfanny

:jap:

merci pour tes conseils, je vais implémenter ça

Pour les regex, je ne connais pas très bien, je vais me documenter là-dessus

:hello:

Mara's dad

Yes I can !

Te plantes pas sur les regexp !
Si tu donne tes règles pour login et mdp, on doit pouvoir t'aider

---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.

juanetfanny

ok

Pour les identifiants login & password, je n'ai pas de règles précises, excepté que les 2 ne doivent pas excéder 10 caractères. Qu'est-ce que je pourrais définir comme règles ?

Mara's dad

Yes I can !

Par exemple interdire les espaces, les ', les " ...

Demander un minimum de caractères pour login et mdp genre 6 ou 8

Pour le login, on a tendance à autoriser les chiffres, et les lettres non accentuée en minuscule et majuscule et à demander à ce que la chaîne commence par une lettre.

Pour le mdp, on autorise tout sauf ' et " qui peuvent poser problème. Mais on peux aussi les autoriser si on fait très très attention à ce qu'on fait

Message édité par Mara's dad le 01-06-2004 à 12:52:35

---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.

juanetfanny

ah oui, tiens, c'est pas bête ça

donc pour les login/password, on peut interdire les espaces les ' et les "
On met les 2 à 8 caractères minimum et on interdit les caractères accentués dans le login. Ca me vas très bien ça :jap:

juanetfanny

Mais c'est vraiment du luxe quand même puisque l'admin, il n'y en a qu'un en principe et c moi !

ratibus

n'oublie pas de faire un exit après un header('Location: ....'); car sinon ça continue à s'exécuter

juanetfanny

ratibus a écrit :

n'oublie pas de faire un exit après un header('Location: ....'); car sinon ça continue à s'exécuter

:jap:

Publicité

juanetfanny

Juste une question : pour les regexp, ça se fait au niveau de php ou bien avec le REGEXP de MySQL ?

Ah oui, et un petit détail : pourquoi tester la saisie de l'utilisateur lors de l'identification et non pas plutot simplement de regarder si on trouve l'équivalence avec un enregistrement dans la bdd ? la vérification de la saisie, c'est plutot lorsque l'utilisateur s'inscrit, non ? :??:

Et pour le fait que "session_start" apparaisse 2 fois (selon les cas la fonction session_start pourra être appelée 2 fois), ça ne cause pas de souci ?

Message édité par juanetfanny le 01-06-2004 à 14:40:37

juanetfanny

titione

addicted

tout ce que tu peux faire au niveau sql est à faire... donc fais le REGEXP dans la requête directement : c plus rapide en temps (pas beaucoup il est vrai )

Mara's dad

Yes I can !

Le deuxième session start ne sert à rien.

On teste la saisie de l'utilisateur par une regexp en PHP avant de l'utiliser dans une requête SQL.

POURQUOI ?

Pour éviter les problèmes "d'injection SQL".

Exemple de requete :

"select * from page where page_id=$p"

Si $p est une valeur saisie par l'utilisateur ou un lien avec la variable visible, l'utilisateur peut faire ce genre de choses :
p=1; drop table page;

alors la requête devient:
"select * from page where page_id=1; drop table page;"

Amusant non ?

Conclusion, AVANT d'utiliser une valeur venant du client (le browser) il faut la vérifier.

Dans l'exemple, on attend une valeur pour $p. Cette valeur doit être un nombre, ce qui DOIT être vérifié AVANT d'utiliser $p dans une requête. Il est même conseillé de vérifier que $p est bien dans une fourchette de valeurs acceptables. M'enfin là on frise la paranoïa... Mais il est toujours possible d'imaginer que si :
$p=1234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890
Alors sait-on jamais, ça peut par exemple faire planter PHP ou le serveur de base de données...

Bref, il ne faut pas faire confiance au client. Jamais !

Donc pour le user, on vérifie par regexp que la valeur fournie est compatible avec les règles de gestion ET qu'elle est utilisable sans danger dans une requête SQL.

Pour te simplifient la vie, tu peux par exemple écrire une fonction générique de vérification à mettre dans un fichier php à inclure un peu partout.

check.php

Code :

<?php
$reginfo[ "USER_LOGIN" ] = "/^[a-z]{1,1}[0-9a-z]{5,9}$/i"; // Chaîne de 6 à 10 caractères (lettre minuscule ou majuscule ou chiffre) commençant par une lettre.
$reginfo[ "ADMIN_LOGIN" ] = "/^[a-z]{1}[0-9a-z]{7,11}$/i"; // Chaîne de 8 à 12 caractères (lettre minuscule ou majuscule ou chiffre) commençant par une lettre.
$reginfo[ "DATE_JJ/MM/AAAA" ] = "/^[0-9]{2}\/[0-9]{2}\/[0-9]{4}$/"; // Date au format JJ/MM/AAAA, ne garantie pas la validité de la date.
$reginfo[ "NUMBER" ] = "[0-9]{1,10}"; // Nombre de 1 à 10 chiffres
$reginfo[ "EMAIL" ] = "/^[\w_.-]+@[\w_.-]+\\.[\w]+$/"; // Email
function checkInput( $input, $format )
{
global $reginfo;
return( preg_match( $reginfo[ $format ], $input ) > 0 );
}
?>

Message édité par Mara's dad le 02-06-2004 à 13:27:47

---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.

art_dupond

je suis neuneu... oui oui !!

(pitit drapeau discret)

---------------
oui oui

juanetfanny

Mille fois :jap: Mara's Dad !

C'est sympa de t'être penché sur mon script et d'avoir apporté une excellente contribution.

Encore :jap:

:hello:

Mara's dad

Yes I can !

J'aime PHP, la sécurité, la bonne utilisation des sessions et les regexp ... entre autre
Alors t'as juste de la chance que je passe une peu de temps sur le forum en ce moment

---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.

jolly

Mara's dad a écrit :

perso pour eviter qq soucis en ce qui concerne ma navigation moi j'utilise un Switch/case comme ca par default si y a un truc louche je le sais -> page defaut et je le retourne la ou il faut !

FORUM HardWare.fr

Programmation

PHP

Petite vérif sur mon script de session, svp ?

Sujets relatifs
juste une petite aide pour une personne qu'un peu programmer	une petite connerie a programmer pr un pote
Pb variable de session	Pbm script dos pour FTP
Pb de script dos	$_SESSION Ne marche pas en fonction du navigateur (IE et Mozilla)
[DHTML] Utiliser dans des objets dans la page mais en dehors du script	[PHP] Une petite précision sur date()
Limiter un script dans le temps	pb pour insérer image dans page HTML avec un script cgi .pl
Plus de sujets relatifs à : Petite vérif sur mon script de session, svp ?

Page générée en 0.091 secondes