bruteforce-protect query
het login script is zodanig gebouwd dat er bij het inloggen gekeken wordt of de gebruiker de laatste vijf minuten al 3 keer foutief heeft geprobeerd in te loggen. dan een blokkade van 5 minuten, na die vijf minuten moet het dan weer opnieuw beginnen. bij elke foutieve inlogpoging wordt er een rij toegevoegd aan de volgende tabel:
tabel loginfail
- username (gebruikersnaam geprobeerd om in te loggen)
- IP (op welk ip)
- dateAndTime (huidige datum en tijd)
en wat er mis gaat, en volgens mij aan volgende query ligt:
na drie keer foutief inloggen blokkeert dit script het keurig. ook na vijf minuten weer opnieuw in kunnen loggen, prima. maar dan weer een fout wachtwoord (al is dat een dag later) kun je maar 1 keer foutief inloggen, en dan wordt je geblokkeerd. dit zou dus 3 keer moeten zijn.
wanneer ik dit dan in phpmyadmin draai, krijg ik altijd alle records.
Code (php)
1
2
3
4
5
6
7
8
9
10
2
3
4
5
6
7
8
9
10
SELECT
COUNT(loginFail_id) AS loginAttempts,
(5 - MIN(TIMESTAMPDIFF(MINUTE, dateAndTime, NOW()))) AS minuteRest,
dateAndTime
FROM
loginfail
WHERE
username = :username
HAVING
TIMESTAMPDIFF(MINUTE, dateAndTime, NOW()) < 5
COUNT(loginFail_id) AS loginAttempts,
(5 - MIN(TIMESTAMPDIFF(MINUTE, dateAndTime, NOW()))) AS minuteRest,
dateAndTime
FROM
loginfail
WHERE
username = :username
HAVING
TIMESTAMPDIFF(MINUTE, dateAndTime, NOW()) < 5
als deze niet gelijk zijn dan zou het kunnen zijn dat er een bot bezig is.
maar ik wil een brute-force tegengaan door te bekijken of dat IP de laatste vijf minuten driemaal heeft geprobeerd in te loggen zonder succes, dan wil ik dat username + IP blokkeren voor 5 minuten. de loginAttempt (in de query) moet dus lager zijn dan 3 om uberhaupt in te kunnen loggen (hier zorgt php voor). maar die query geeft dus lekker de hele database terug
en dat je hier iedere keer dat een inlog wel lukt het ip adres bij schrijft dat zie je dit. als de gebruiker dan 3x verkeerd inlogt maar dan met het ip van hem zelf dan kun je hem bijvoorbeeld een andere blokkerings tijd meegeven.
rijen: id, datum van wanneer er verkeerd is gedaan, ip
Telkens als er een fout wachtwoord is, moet je een nieuw record aanmaken.
id wordt automatisch gedaan, de tabel 'pogingen' moet je ook na 30 minuten bijvoorbeeld resetten. Niet alles, alleen deze waarvoor de datum:
>= NOW() + 30 minuten
Je kan nog een tabel aanmaken: BAN
Als er 5 records zijn van hetzelfde ip, dan wordt het ip gepost bij bans.
Daar kan je dan ook een ban_verloop rij maken, ban_reden enzovoort.
Je controleert dan ook op de loginpagina of de ip in de database bevindt.
Anders kunnen ze niet meer inloggen?
Met cookies of sessie's ga je niet kunnen werken.
Gewijzigd op 10/04/2012 17:51:18 door - Diov -
Code (php)
1
2
3
4
5
6
7
8
2
3
4
5
6
7
8
SELECT username, ipaddress
FROM loginFail
WHERE
DateAndTime >= DATE_ADD(NOW() INTERVAL -5 MINUTE)
AND
username = :username
GROUP BY username, ipaddress
HAVING (COUNT(username) = 3)
FROM loginFail
WHERE
DateAndTime >= DATE_ADD(NOW() INTERVAL -5 MINUTE)
AND
username = :username
GROUP BY username, ipaddress
HAVING (COUNT(username) = 3)
Eventjes uit mijn hoofd maar in die richting moet je het zoeken.
@ger, wat doet DATE_ADD()?
Voorbeeld:
Code (php)
1
2
2
SELECT *,DATE_ADD(OrderDate,INTERVAL 45 DAY) AS BetaalDag
FROM Orders
FROM Orders
Leesvoer
Als je het goed uitschrijft ben je er ook:
NOW() - INTERVAL 5 MINUTE