Cookie en userid 1 beveilegings lek :(
Ik zit hier met een zwaar probleempje.
Als ik in ene opgeslagen cookie mijn user id in 1 verander ben ik admin in mij systeem.
Hoe kan ik dit verhelpen?
Niet aan komen van je moet sessies dit en dat gebruiken -_-".
Hoe kan ik dit het beste fixen?
Mijn cookies die ik gebruik:
id
wachtwoord
hash
Kan iemand me helpen?
werkt dan net als een cookie :)
In je script haal je die 2 dan op en ga je vergelijken of er een user is met id = $_cookie['id'] en hash = $_cookie['hash'].
Ik weet niet waarvan de hash is maar anders zou je bijv ook nog het wachtwoord kunnen hashen en deze in het cookie zetten. en dan mbv.
SELECT * FROM tabel WHERE id = $_COOKIE['id'] AND MD5(password) = $_COOKIE['hash'];
vervolgens kijk je hoeveel rijen je geselecteerd hebt. Is dit er een dan klopt 't allemaal zijn het er 0 dan komen 't id en hash niet overheen.
Stefan:
gebruik sessies, en dan session_set_cookie_params
werkt dan net als een cookie :)
werkt dan net als een cookie :)
Admin mag ik hem een klap op zijn neus geven?
-
Ja ik weet dat hash etc kan maar is er geen mogelijk dat ik dat kan blokeren?
Gewijzigd op 29/07/2005 18:42:00 door Paul v.Dun
maar als je het echt veilig wilt hebben, zou ik in het koekje een id van een regel uit een tabel zetten, met in die tabel het ip-adres, browsernaam en natuurlijk de gebruiker. En dan controleren of dat allemaal overeen komt met dat wat de browser op stuurt.
Of geen cookies gebruiken...
Amehoela.
Dan zeker me sql overhoop gooien dcht et toch niet.
De mens is niet mee rzo betrouwbaar.
(pokke naaiers zijn het :') )
Maar ik probeer wel wat.
Gewijzigd op 30/07/2005 10:57:00 door Jelmer -