SYSTEME D'AUTHENTIFICATION ET D'ADMINISTRATION SIMPLE

Commentaire de thekid23 le 05/08/2006 01:53:00

Oui tu devrait tres bonne sources :D Merci ;P

Commentaire de emilia123 le 13/08/2006 23:16:55

bonsoir à tous,

j'ai remarqué une petite erreur de fonctionnement dans la sécurité....

exemple avec admin_panel.php:

<?php
if ((isset($_POST['fm_ad_login'])) AND (isset($_POST['fm_ad_password']))) {
  echo '<h3>Adminstration Panel</h3><br>';
  show_tmp_user();
  show_user();
} else {
  echo 'Vous navez pas les droits dadministratoin!';
}
?>

- en premier il manque l'inclusion du fichier de fonction (mais ca ne doit etre qu'un petit oubli)

- en second et plus grave, avec firefox il est trés facile de modifier/rajouter des variables en POST. du coup, on peut trés facilement afficher la liste des utilisateurs temporaire et complet.

qu'est ce qui m'empeche du coup de lancer directement la page admin_panel.php, en ajoutant les variable POST et afficher la liste des utilisateurs sans etre identifiée?????

de la meme facon... qu'est ce qui m'empeche de supprimer tous les comptes temporaire en appelant:
supcompte.php?t=tmp&uid=1 , supcompte.php?t=tmp&uid=2 etc.

pareil pour l'activation des comptes...

Il n'y a pas d'authentification dans ces fichiers annexe.

on peut donc au final, en plusieurs étaptes, se créer un compte, lister les comptes pour trouver le numéro du compte, et l'activer.

voila voila...
j'attendrais la prochaine version pour mettre une note ;)

biz

Commentaire de emilia123 le 14/08/2006 07:36:54

bonjour,

ok pour l'inclusion de fonction, on ne peut pas lister les éléments dans ce fonctionnement la.

un petit conseil: il faut essayer d'être constant dans le fonctionnement de tes scripts.
si dans un cas le script est appelé directement, dans un autre il faut passer par une page qui fait un include, et un troisième cas ou .... , etc, tu risques de ne pas réussir à relire tes scripts dans 1 ou 2 années.

pour la sécurité de l'inclusion, tu peux utiliser un define dans le script principale:
ex define('INCLUSION_AUTORISE','oui');
et dans tous tes scripts inclus
if (INCLUSION_AUTORISE!='oui')
{
  die('pas le droit de me lancer directement');
}

sinon il est vrai qu'il est assez important d'utiliser les sessions, avec un test en haut de chaque page, comme cela tu limites les failles de sécurité aux utilisateurs déjà identifiés
voila voila..
bonne continuation.
biz

Commentaire de emilia123 le 17/08/2006 20:57:55

bonsoir,

INCLUSION_AUTORISE n'est pas une fonction... c'est un element que tu défini à un endroit du script (dans le define) et qui ensuite gardera toujours cette valeur, jusqu'à la fin du script.

en gros dans le script principale tu défini ton élément avec la valeur à 1 (ou "oui" ou vrai) et dans le script que tu inclus, tu vérifi le contenu de l'élément.. si ce n'est pas la bonne valeur c'est qu'il n'est pas passé par le script principal donc c'est surement un appel direct à ton script...

voila voila.
biz

Commentaire de bizzard4 le 17/08/2006 21:25:36

a okok dls javais mal comprit je comprend la merci ! :)

(Dls pour le double post mais jetait sur mon autre account sans le savoir :S )

En passant sous firefox il m'est impossible de deconecter :S je suis sur IE la et sa marche mais pas sur FireFox :S

Commentaire de peloo le 11/06/2007 22:49:20

lol le gars il se repond a lui meme 9mois plutard XD

Sinon ta source alair tres interressante je vais la tester de suite pour la partie admin de mon site

Commentaire de peloo le 01/05/2008 00:55:18

http://www.cnil.fr/index.php?id=1928