SÉCURITÉ : EVITER LES INJECTIONS SQL ET LES ACCÈS AUX PAGES SANS AUTORISATIONS SPÉCIAL POPUP

Commentaire de merkhaled le 06/10/2007 23:21:25

dans le popup, j'ai une frame a gauche : menu et a droite : corps,

le frame se lance avec le passage du code en GET, je le récupère dans la frame du menu, et je verifie dans la bdd si ce code est "validé" ou pas, s'il est validé, c'est qu'il a deja été utilisé, et donc je met un <input type=hidden id=droit value="0"> et s'il na pas été activé, je met<input type=hidden name=droit value="1">  et je met a jour la bdd (jactive la clé),
dans toutes les pages, si jai besoin dune connection a la bdd, jai un include(connect.php) qui contient les infos de connections, et aussi qui vérifie si top.parent.getElementById("droit").value==1 ou sinon redirection vers intru.php ;), donc pour avoir la connection a la bdd, il faut etre dans la frame qui se lance de mon site, et avec un code de verification. jespère que j'été clair :)

Commentaire de codefalse le 06/10/2007 23:27:20 administrateur CS

le probleme c'est que certains utilisateurs (type Aol a ce qu'il parrait), ont une ip qui change aléatoirement donc ton truc est moyen pour ca.
Il faut travailler sur les sessions, c'est apparement l'une des meilleures solutions pour le moment.

Niveau 'travail sur la sécurité', il n'y a pas de rapport comme dirait Malalam.

A vrai dire il n'y a pas vraiment de sécurités complètement sures pour une protection de fichier / repertoire (outre le htaccess). Les sessions peuvent être détournée, une ip aussi, etc...

Pour ton code, il y a des choses bizarres, dans ta popup, tu utilise la variable $code et $mon_ip ainsi que la resource sql n'ont pas été crées donc si je reprends ton code comme celui que tu a donné, ca ne marchera pas.
Les codes comme celui ci sont déjà légions sur phpcs, si tu veux te faire remarquer, essaye de faire un code qui dépasse celui des autres, sinon il tombera dans le code basique et sera supprimé, ce qui est compréhensible.

Re-travaille dessus et met-le à jour, ca peux aboutir à quelque chose d'efficace.
Par contre, change de titre :p

Commentaire de merkhaled le 06/10/2007 23:41:00

et meme si les uilisateurs comme ceux d'aol ont une ip qui change, ca se passe en meme pas une seconde ! le temps du lancement du poup, on enregistre l'ip avant douvrir le popup, on lance le popup et on verifie si c la meme ip, le meme code et si la clé na pa été activée ;)

Commentaire de codefalse le 07/10/2007 00:41:03 administrateur CS

"up !" ?? :)

Si j'ai bien compris l'idée, et je veux bien croire que ton code marche chez toi (sinon il ne serai pas en ligne), mais alors quel est l'intérêt de mettre un code qui ne marche pas "j'ai pas donne un code qui marche" ?
Je dit pas ca pour te descendre, mais si je suis monsieur qui débute en php et qui cherche à proteger une page, je tombe sur ton script, et je passe 3 jours à comprendre pourquoi il ne marche pas. Ou est l'intérêt ? Le but de mettre des codes, c'est pour pouvoir les réutiliser par la suite, et là ce n'est pas le cas.

Concrètement, si on veut parler de ton idée, elle n'est pas bonne sur plusieurs points. Outre les points déjà abordés (par moi et Malalam), il y a le probleme de compatibilité ; si ca ne marche que sur IE, c'est encore plus restrictif comme code. En plus, il faut que l'utilisateur ait le javascript d'activé. Ok il y en a de plus en plus, mais il reste encore des visiteurs qui ont bloqués leur javascript.

Il y a peut-être un point à travailler, mais pour le moment, c'est pas utilisable

Commentaire de merkhaled le 08/10/2007 17:01:48

si je pouvait garder la session après ouverture du popup, j'aurais pas fait ca... justement, c'est le problème, après ouverture d'un popup on pert les variables sessions !
et je up si j'ai envie, j'apprécie pas trop la manière dont tu m'as répondu ... toi qui est si intélligent ! !

Commentaire de webdeb le 08/10/2007 18:02:24

>> et je up si j'ai envie, j'apprécie pas trop la manière dont tu m'as répondu ... toi qui est si intélligent

Il peut se le permettre à mon avis à la vue de ses compétences et du code que tu fournis...

Commentaire de phpajax le 08/10/2007 18:29:38

si si je le fait pourtant ! je pense qu'il faut passer en paramètre PHPSESSID=session.id()

Commentaire de coucou747 le 08/10/2007 19:21:25 administrateur CS

DOWN ! (et je down si j'en ai envie... si tu veux aller par la...)


au passage, le serv ne sait pas que c'est un popup, et les sessions, c'est sur le serv, faut juste que le client renvoi le cookie, je serais etonne qu'un client ne fasse pas suivre de cookie pour les ouvertures de popups... au pire, tu gardes le phpsessid en le passant par get...

Commentaire de coucou747 le 08/10/2007 20:34:53 administrateur CS

<?php
session_start();

print_r($_SESSION);
$_SESSION['test']='test';
?>
<a onclick="javascript:window.open('test_popup.php', 'popup', 'toolbar=0, location=0, directories=0, status=0, scrollbars=1, resizable=1, copyhistory=0, menuBar=0,fullscreen=0');">test</a>


chez moi ca marche parfaitement...

Commentaire de coucou747 le 08/10/2007 20:58:31 administrateur CS

t'as oublie un session_start, c'est pas possible autrement...

Commentaire de coucou747 le 08/10/2007 21:11:46 administrateur CS

faut voir la source, mais serieux, ca ne vient pas de ca

Commentaire de malalam le 08/10/2007 21:44:20 administrateur CS

Chez moi cela marche.
J'ai bien "test" qui s'affiche dans ma popup dans la frame page1.php.

Commentaire de phpajax le 08/10/2007 21:46:39

MALALAM, tu croit que je doit voir mon php.ini ??? car chez moi je perd les sessions dans les frames...

Commentaire de titou_doc le 08/10/2007 21:50:32

pardon j'oublie les balise <?php {MANQUE}?>

Commentaire de titou_doc le 08/10/2007 22:03:54

tu n'essaie qu'en local  chez toi

Commentaire de coucou747 le 08/10/2007 22:06:42 administrateur CS

"il parait qu'il faut envoyer le sessionid qd on utilise des frames" -> ou t'as lu ca ???

en local ou ailleur, ca change quoi ? c'est pas le fait que la machine appartienne a une entreprise qui fait quel est l'os, et quel est la version de php, ni sa conf... bref...

Commentaire de phpajax le 08/10/2007 22:28:05

mais je trouve que c'est pas logique... j'arrive a récupérer les sessions dans le popup, mais pas dans les frames !

coucou747, tu aurait peut etre une explication ? ou une solution? sachant que les variables session sont le pseudo et le mot de passe, et que je préfère pas les envoyer dans l'url.

Commentaire de merkhaled le 08/10/2007 22:59:20

<?php

function password_decode($filter, $str)
{
   $filter = md5($filter);
   $letter = -1;
   $newstr = '';
   $str = base64_decode($str);
   $strlen = strlen($str);

   for ( $i = 0; $i < $strlen; $i++ )
   {
      $letter++;

      if ( $letter > 31 )
      {
         $letter = 0;
      }

      $neword = ord($str{$i}) - ord($filter{$letter});

      if ( $neword < 1 )
      {
         $neword += 256;
      }
      
      $newstr .= chr($neword);
   }

   return $newstr;
}

function password_encode($filter, $str)
{
   $filter = md5($filter);
   $letter = -1;
   $newpass = '';

   $strlen = strlen($str);
  
   for ( $i = 0; $i < $strlen; $i++ )
   {
      $letter++;

      if ( $letter > 31 )
      {
         $letter = 0;
      }

      $neword = ord($str{$i}) + ord($filter{$letter});

      if ( $neword > 255 )
      {
         $neword -= 256;
      }

      $newstr .= chr($neword);

   }
  
   return base64_encode($newstr);
}

// exemple d'utilisation :

$str = 'Salut ça va ?';

echo 'phrase d\'origine : <b>' , $str , '</b><br />';

$str1 = password_encode('mot de passe', $str);

echo 'encodage en utilisant le mot de passe &quot;mot de passe&quot; : <b>' , $str1 , '</b><br /><br />';

$str = password_decode('mot de passe', $str1);

echo 'décodage de ' , $str1 , ' avec le bon mot de passe : <b>' , $str , '</b><br />';

$str = password_decode('mot de passe2', $str1);

echo 'décodage de ' , $str1 , ' avec le mot de passe &quot;mot de passe2&quot; : <b>' , $str , '</b><br /><br />';

?>

Commentaire de malalam le 08/10/2007 23:13:31 administrateur CS

De toute manière, ça ne sert strictement à rien d'écrire "up". Si les gens n'ont pas envie de répondre, ils ne répondent pas. Et si les emails reçus à cause de ces "up" ne leur plaisent pas, ils finiront par ne plus aller voir.
Mais "up" DANS un commentaire, c'est stupide, PHPAJAX. Le site ne t'obéit pas en remontant ton thread en haut...t'es pas sur un forum, et au cas où tu ne l'aurais pas remarqué, les codes ne bougent jamais de place. Quoi que tu fasses.

Commentaire de malalam le 09/10/2007 13:53:33 administrateur CS

Ce code a l'intérêt de montrer une autre façon de valider une identification. C'est pour ça que je le laisse. Même si là, dans ce cas précis, je n'en vois pas l'utilité.
Mais ça peut l'être dans d'autres cas. Mais oui...en effet, il y a toujours la suppression du code si les choses n'avancent pas dans le bon sens. Ou des commentaires...

Commentaire de malalam le 09/10/2007 14:40:13 administrateur CS

JE Peux supprimer des commentaires ;-)
Non ce n'est pas nouveau, ça a tjrs été ainsi.

Oui il y a un anti-flood.

Commentaire de malalam le 09/10/2007 20:38:40 administrateur CS

Nix est comme tout le monde : on supprime un code quand on a de bonnes raisons de le faire. Dans ce cas, pas de soucis. Sinon, soucis. Normal quoi.
Bon...on arrête les commentaires n'ayant aucun rapport avec ce code.
PHPAJAX, t'en es où de tes déboires avec les sessions ?