Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате
Форум программистов > PHP: Общие вопросы > хранение информации


Автор: Prompt 26.7.2006, 20:02
Дело в том, что необходимо при управлении контентом входить на страницу администратора. Кроме администратора ни у кого паролей больше нет. Где хранить один единственный пароль? Не в базе данных же. 
И одновременно схожий вопрос. Администратор должен иметь возможность менять картинку. Всего картинки две. Но только одна может быть на сайте. Какая именно выбирает администратор. Как хранить информацию какая именно должна быть картинка? 
Есть идея хранить это все в обычном текстовом файле. 
Но может что-нибудь есть получше? 

Автор: Gold Dragon 26.7.2006, 20:12
Prompt, не парься и закрой полность директорию (или файл) на сервере через htpasswd

вот читай
http://forum.vingrad.ru/index.php?showtopic=47927&hl=htpasswd
 

Автор: szz 26.7.2006, 23:51
А если у человека не апач? Или он делает переносимую программу, чтоб могла уснанавливаться и на IIS? Тут твой htpasswd накрывается медным тазиком.

   делай так: пароль шифруй в md5, потом конкетируй к результату какие-нибудь пару букв - и то что получится- опять md5 - результат сохраняй в файл. 
Т.е:
Код

$the_password = 'some password';
$encrypted_password = md5('lalala'.md5($the password));

   Когда админ входит - делаешь то же самое с вводимым паролем и проверяешь, совпадает ли с твоей шифровкой.

    Предупрежу вопрос: Зачем добавлять двойной md5?  А потому, что есть в сети куча огромных библиотек, содержащих уйму пар - пароль-его md5. По ним пароль много шансов найти (особенно если у тебя админ использовал какой-нибудь простенький пароль).

 Храни так:
Код

<?'encrypted_password_here'?>

   В отдельном php файле.
  И для сравнения вырезай его.
 Так если кто-то снаружи даже напишет имя этого файла - увидит просто пустую строку. 

Автор: Prompt 27.7.2006, 00:21
Это мне нравится. А как насчет запоминания того какую картинку выбрал администратор? 

Автор: Диман 27.7.2006, 02:55
Сделай это в базе данных.Для этого используй язык MYSQL. 

Автор: AztEK 27.7.2006, 07:58
szz, мне кажется, это будет ненадёжно. Слишком большие коллизии.
И потом, что мешает оставить обычное хэширование? smile Хэш то никто видеть не будет smile 

Автор: jzZ 27.7.2006, 08:43
Prompt
сделай эти две картинки как две большие кнопки ),
а дальше передавай это дело в сценарий
Код

<body>
<form name="1" action="" method="post">
<INPUT name="image" type="image" value= "picture1" src="1.jpg" WIDTH="60" HEIGHT="30">
<INPUT name="image" type="image" value= "picture2" src="2.jpg" WIDTH="60" HEIGHT="30">
</form>
</body>
</html>

ну а дальше примерный сценарий
Код

  if($image == picture1) {
    echo "picture1";
   } elseif($image == picture2) {
         echo "picture1";
      }

Ну в общем первое что приходит в голову, ну дальше измени по вкусу 
P.S. не компилил, может содержать ошибки даже логические ) 

Автор: jzZ 27.7.2006, 10:02
ну echo это я так к примеру ) добавь переменную в $_GET и передай ее дальше сценарию какому хотел, не знаю какая цель у тебя 

Автор: Prompt 27.7.2006, 11:30
Как выбрать картинку я понимаю, но как сохранить информацию, что именно эта картинка должна появляться при заходе обычного пользователя? Получается так, что администратор должен иметь право поменять внешний вид сайта. И вариантов вида у него всего два. 

Автор: jzZ 27.7.2006, 11:41
Ну в бд, или в файле, можешь хранить в php файле, открываешь пишешь типа этого:
Код

$fr = fopen("scenarij.php", 'r+');
        if(!$fr) {
          echo "Невозможно открыть файл";
        }
       $text = "\$picture = "."'".$picture."'".";"."\n"."?>";
       fseek($fr,2);
       fputs($fr, $text);
       fflush($fr);
       fclose($fr);
}

дальше ставишь его на главную
include "scenarij.php";
Дальше просто показываешь переменную в нужном месте, т.е. картинку
echo($picture); 

Автор: GiV 27.7.2006, 12:04
Цитата(AztEK @  27.7.2006,  07:58 Найти цитируемый пост)
szz, мне кажется, это будет ненадёжно. Слишком большие коллизии.
И потом, что мешает оставить обычное хэширование? smile Хэш то никто видеть не будет 

Способ с солью, предложенный szz, является стоиким к бруту + убирает слабые пароли. Первичный пароль в этом случае по словарику найти не получится уже никогда. 

Автор: jzZ 27.7.2006, 12:08
GiV
от брута есть очень хорошая функция sleep().
Указываешь задержку по три - пять секунд перед проверкой пароля ) не один брутер не вытерпит, если конечно это не цель всей его жизни поломать твой сайт ) 

Автор: AztEK 27.7.2006, 12:15
Цитата(GiV @  27.7.2006,  15:04 Найти цитируемый пост)
Первичный пароль в этом случае по словарику найти не получится уже никогда. 

Я про это и говорю. А вдруг найдется левый пароль, который из-за коллизий подойдет? ИМХО надо быть осторожным, создавая свои методы...

А всё-таки:
Цитата(AztEK @  27.7.2006,  10:58 Найти цитируемый пост)
И потом, что мешает оставить обычное хэширование?  Хэш то никто видеть не будет  

 

Автор: GiV 27.7.2006, 12:24
Цитата(jzZ @  27.7.2006,  12:08 Найти цитируемый пост)
от брута есть очень хорошая функция sleep().
Указываешь задержку по три - пять секунд перед проверкой пароля ) не один брутер не вытерпит, если конечно это не цель всей его жизни поломать твой сайт )  

Брут применяется на хэш, а не на систему логина =)


Цитата(AztEK @  27.7.2006,  12:15 Найти цитируемый пост)
А вдруг найдется левый пароль, который из-за коллизий подойдет? ИМХО надо быть осторожным, создавая свои методы...

в чистом мд5 тоже есть коллизии, но помимо этого чистый мд5 можно подобрать по словарю без коллизий. Так что лучше? 

Автор: szz 27.7.2006, 12:25
Цитата
Слишком большие коллизии.


    Нет шансов )))
  Если конкетация мд5 с солью х опять мд5 выдаст потом коллизию - то можно это репортить как грандиозное событие в истории мд5  smile 

Цитата
от брута есть очень хорошая функция sleep().

   Даже если у взломщика будет конечная строка в распоряжении - то брутом будете ее распаковывать столетиями - и через 2 года постоянного перебора получит мд5+соль - и охрененно обломается  smile 

   Даже один мд5 на строку длиннее 5 букв (если она не словарная) подбирать будешь несколько месяцев smile а в моем случае - взломщик окажется глубоко в заднице smile

Добавлено @ 12:31 
Цитата
в чистом мд5 тоже есть коллизии


  Блин, столько раз об этом слышал, но никогда не встречал!!!
 Дайте пожалуйста две строки - человеческие, не более 10 букв - которые бы дали коллизию smile  Интересно просто )))

Добавлено @ 12:33 
Кстати, именно так парольи в этом IPB используются - мд5+соль * мд5 (правда, соль генерится для каждого пароля, но она видна). И ничо, никто пока не жаловался )))
   В phpBB ваще простой одинарный md5, а он дико популярен )))  И ничо, все довольны! 

Автор: jzZ 27.7.2006, 15:08
szz
Короче респект тебе полюбому )) но интересно было бы побрутить авторизацию, с двойным md5 и sleep на три секунды )) попробую реализовать на досуге )
 

Автор: vasac 27.7.2006, 16:34
jzZ, sleep() защитит только от последовательного перебора. Мало-мальски грамотный взломщик будет просто параллельно посылать несколько запросов и никакие задержки не помогут. 

Powered by Invision Power Board (http://www.invisionboard.com)
© Invision Power Services (http://www.invisionpower.com)