2

Заметил большую дыру в безопасности своего сайта (благо пока работает локально). В куки, после авторизации пользователя, записывается его id (в не шифрованном виде, то есть $_COOKIE['id'] = 1), далее по этой куке вытаскивается различная информация из бд для этого пользователя и т.д. Если подменить номер этой куки в браузере, скажем с 1 на 2, то вуаля, мы авторизованы под пользователем с id 2 :D Вот хочу спросить, как защитить эту куку, можно конечно зашифровать её, но есть ли другие способы проверки, например соответствие куки ip или что то в этом роде?

1
  • Ни как не надо их защищать, в куке надо хранить шифрованые данные авторизации, все остальное - сессия на сервере.
    – user3545
    10 мар 2012 в 6:56

6 ответов 6

4

Во-первых, хранить любые данные на клиенте надо зашифрованными. Во-вторых, Данные об авторизации лучше хранить в сессии. В-тртьих, хранить лучше не id, а хэш(вышеупомянутый md5, sha1 или их комбинация) от логина+пароля+юзерагента+мусора aka соли. И авторизовывать юзера на каждом запросе.

Пример можете посмотреть в коде любой CMS, где есть авторизация, да и просто в инете много их.

1
  • Если кто-то боится перебора пароля - сделайте sha512 xDDD
    – user3545
    10 мар 2012 в 6:57
2

Такая дыра заделывается с помощью специального хеша в базе данных для каждого пользователя.

$хеш = md5(user_agent . '%' .  user_password)

При авторизации на сайте генерируем этот хеш и записываем в базу данных, в cookies записываем id пользователя, при посещении сайта каждый раз генерируем новый хеш и сверяем с тем который хранится в базе данных.

При поставлении другого id, хеш будет неверный и пользователь будет разлогинен.

И не нужно никакие id хешировать!

4
  • понял, частично... то есть залогинился, сгенерировали, записали... а дальше? каждый раз проверять id на совпадение с записью в БД, эт получается нужно ко всем страницам сайта подключить эту проверку на id, правильно?
    – dikardRus
    9 мар 2012 в 10:35
  • Да, правильно.
    – Oleg
    9 мар 2012 в 12:10
  • а если тот же человек зашел с 2 разных браузеров сразу (ну мало ли), получится что опять несовпадение и постоянно его будет кидать на страницу логина, ибо в базе для него 2 хэша а сравнивается он с первой записью в БД (почему то, а не проходит по всем), тоесть хэш второго браузера в БД к примеру 12345, а для первого браузера хэш 54321, вот и сравнивает всегда 12345=54321
    – dikardRus
    9 мар 2012 в 16:32
  • Все правильно, работайте с одного браузера. Это безопасность.
    – Oleg
    9 мар 2012 в 17:46
1

куки и IP - ИМХО не лучший вариант, т.к. IP у меня меняется раз в час, т.е. мне постоянно нужно будет проходить авторизацию.

Сделай лучше так.

Куку пользователю

$_COOKIE['id'] = md5(id+email); // бонально, но можно и просто id юзера.

Далее когда он авторизуется в БД в какую-нить таблицу можно записать соль авторизации (вожно помнить пользователь может зайти с 1,2 и 10 машин, работа, дом, подруга, друг и там может не нажать "ВЫХОД с сайта") для этого нужно хранить эту "соль" постоянно как в гугле кто видел, там можно посмотреть с какие IP открыт аккаунт, и потом если что удалить все.

Так вот, записываешь эту "соль" вида? можно добавить и время и дату, что выгоднее и лучше, я просто суть пишу.

$rnd="1243dfrwe@"; // допустим при регистрации юзеру в поле записывается определенная соль для дальнейших проверок
md5(id+ip+email+$rnd) // допустим
// так же ему куку с этой "солью" для проверки +$rnd эту штуку

Ну и при входе узера с этого IP проверяешь куку и то что в БД лежит, подходит авторизуешь, не подходит говоришь ему пусть залогинится.

Если коряво написал не обессутьте.

0

Есть элементарные правила безопасности в PHP. Их должны соблюдать все веб-разработчики, пишущие на PHP. В кукисах вся инфа должна хранится в какой-нибудь кодировке, например, MD5. В PHP для этого даже есть функция - md5();

13
  • Бывалые, конечно, не узнают md5(1) =)
    – Sh4dow
    9 мар 2012 в 10:00
  • да это понятно, просто смотрел на многих сайтах там мой id пользователя хранится в открытом виде в куки, ну и тоже так сделал...
    – dikardRus
    9 мар 2012 в 10:00
  • На тех многих сайтах можно получить доступ к любому аккаунту. Попробуйте =)
    – AseN
    9 мар 2012 в 10:01
  • 1
    У меня на сайте чистый id хранится - взломайте, печеньку дам :D
    – Oleg
    9 мар 2012 в 10:03
  • 1
    > ВК например, там id явно указан в куки FALSE, как кука называется?) Да не хранится id в куках у вконтакта, вы думаете Дуров наркоман совсем?
    – Sh4dow
    9 мар 2012 в 10:13
0

У себя на сайте я сделал так :

  1. У каждого пользователя есть логин, пароль и ид.
  2. После авторизации генерируется 3 случайных числа + конкатенация строк логин, пароль, ид, ай пи и всё это переводится в md5().
  3. Получившаяся строка является уникальной и записывается в таблицу с сессиями, а так же передаётся юзеру в куки.
  4. Куки, которые нам прислал юзер мы чистим регуляркой от лишних символов, оставляем только [a-zA-Z0-9].
  5. Проверяем длину куки с сессией, строка в md5 всегда будет длиной 32 символа, а после уже ищем в базе данных, в таблице с сессиями, есть ли запись с таким идентификатором сессии и ай пи адресом, тоесть вот так : SELECT COUNT(*) FROM sessions WHERE sessid='$cookie_session' AND ip='$ip', если кол-во записей равно 1 - авторизован, иначе - нет.
-1

Я генеририрую уникальный ключ, который кладу в бд. А потом по этому ключу заполняю сессию.

<?php
    /* Если существует кука автовхода */
    if(!empty($_COOKIE['autokey'])){
        $sql = "SELECT a.`autokey`, a.`user_id`, u.* FROM `autokey` a, `users` u WHERE a.autokey = '".clear($_COOKIE['autokey']."' AND a.`user_id` = u.`user_id`");
        if($row = $db->fetchrow($sql)){
            foreach($row as $k=>$v){
                $_SESSION[$k] = $v;
            }
            $auto = autokeygenerate($_SESSION['user_name']);
            setcookie('autokey', $auto, 604800);
            $db->query("DELETE FROM `autokey` WHERE `user_id` = ".$_SESSION['user_id']);
            $db->query("INSERT INTO `autokey` (`autokey` ,`user_id` ,`key_time`)  VALUES ('{$auto}', '{$_SESSION['user_id']}', '" . (time()+604800) . "')");
            header("Location: index.php");
            $_SESSION['start']  = true;
        }   }
        if($_POST){
            /* Если не вошли по автовходу, то входим по данным присланным с формы */
             $r_login = clear($_POST['login']);
            $sql = "SELECT * FROM `users` WHERE `user_name` = '". clear($_POST['login'] ."' AND `user_pass` = '". md5($_POST['pass'])."'");
            if($row = $db->fetchrow($sql)){
                foreach($row as $k=>$v){
                    $_SESSION[$k] = $v;
                }
                $auto = autokeygenerate($_SESSION['user_name']);
                $db->query("DELETE FROM `autokey` WHERE `user_id` = ".$_SESSION['user_id']);
                    if(!empty($_POST['autologin'])){
                $db->query("INSERT INTO `autokey` (`autokey` ,`user_id` ,`key_time`)  VALUES ('{$auto}', '{$_SESSION['user_id']}', '" . (time() + 608400) . "')");
                    setcookie('autokey', $auto);
                    }
                header("Location: index.php");
                $_SESSION['start']  = true;
            }
        }
        else{
            $r_login = false;
        }
    $sm->assign(array(
    'requestlogin'      =>    $r_login,

    ));
    $sm->display('/user/login_t.tpl');

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.