mHost Cpanel

voorbeeld?

Ik heb nog geen voorbeeld omdat het een file manager is.
En het nog al makkelijk te hacken valt als je kan inloggen.
Screenshots wel: http://design4u.my-host.org/images/screens/mHost_1.png

Dit is geen cPanel.....

Hoe zou je het dan noemen ?

Ja, inderdaad makkelijk te hacken. Ook zonder inloggen.
In index.php staat al vrij bovenaan dit:
$checkq = mysql_query("SELECT * FROM mHost WHERE usr='".$_POST['usr']."'");
lijkt mij niet echt gezond.
Verder is het password zo te zien gewoon opgeslagen als plain text. Je strooit met html in het rond alsof het pepernoten zijn.
Als je ingelogd bent wordt er new_index.php geinclude, ook niet echt net vind ik persoonlijk, waarin weer wordt gekeken of je ingelogd bent.
Je gaat Windows programma's starten, maar niet heus, vreemd gedoe:
start_new_process("main.exe");
start_new_process("logon.exe");
start_new_process("theme.exe");
function start_new_process($proc) {
$_SESSION['taskmngr'] = $_SESSION['taskmngr'].$proc."|";
}

Nou, ik wordt er niet echt wegwijs uit en ik vind het maar niks. Raar gedaan. Ik ga het ook echt niet uittesten.

Nee klopt die processen zijn niet nodig.
Daar wou ik later misschien iets mee doen.
En hoezo is je wachtwoord opgeslagen als plain text ?

$checkq = mysql_query("SELECT * FROM mHost WHERE usr='".$_POST['usr']."'");
$check = mysql_fetch_array($checkq);

if ($id == "form_login") {
if ($_POST['usr'] == $check['usr'] && $_POST['pass'] == $check['passwd']) {
$_SESSION['LOGON'] = "1";
$_SESSION['usr'] = $_POST['usr'];
}
Omdat je dat doet.
Daaruit concludeer ik dat het gewoon als tekst in de database zit.
En zoals ik al aangegeven heb, ik ga dit script niet draaien.
Vind het ook eigenlijk verkeerd gebruik van sourceforge.

Ja je hebt gelijk het is nogal rommelig.
Ik zal wel md5 codering gebruiken.
En en nieuwe html schijven.

En verder is het ook nodig in new_index.php dat hij opnieuw kijkt of je ingelogd bent anders kun je zomaar naar dat bestand gaan terwijl je niet ingelogd bent.

Doe gewoon zo, als je loginsessie klopt include je pagina x in je index.php en zo niet include je die niet, je mysql connectie include je enkel in index.php file waardoor de geinclude files nutteloos worden zodra ze misschien toch zouden aangeroepen worden via ergens anders

Ok.
Dankjewel ik ga het proberen.

Niet om je af te kraken dillen of iets dergelijks. maar waarom willen mensen altijd meteen een raket naar de man maken in plaats van te beginnen met een bolderwagen? maw bouw je kennis op door ook op jouw kennis niveau te beginnen ipv 100 stappen vooruit.