VPF::Надежный ли способ в моем примере логинить юзера

linuxoid

Дата 27.4.2010, 21:32 (ссылка)

(нет голосов)

Загрузка ...

Бывалый

Профиль
Группа: Участник
Сообщений: 180
Регистрация: 17.4.2005

Репутация: нет
Всего: нет

Здравствуйте товарищи!
Я подзадумался вот о чем: нормально-ли у меня реализовано добавление пользователя в куки (запомнить вход на сайте). А именно у меня сомнения насчет

Код


$c_pass  = md5($ip_addr.$user['password']);

Всегда-ли сервер правильно распознает любого юзера, который вошел на сайт с того же компа (в течении действия кук он будет залогинен автоматически после сравнения...

Код


                if(isset($_POST["remember"]))
                {
                    $ip_addr = ($_SERVER['REMOTE_ADDR']);
                    $c_pass  = md5($ip_addr.$user['password']);
                    setcookie('login', $user['login'], time() + 2592000);
                    setcookie('password', $c_pass , time() + 2592000);
                }
                
                $_SESSION["client"]["logged_in"] = 1;
                $_SESSION['client']["id"]         = $user['id'];

Авторизация происходит, если

Код


        // esli takoi user estj i parolj sovpadaet s parolem v pe4enii
        if(isset($user['login']) && $_COOKIE['password'] == md5($ip_addr.$user['password']))
        {
            $_SESSION["client"]["logged_in"] = 1;
            $_SESSION['client']["id"]         = $user['id'];                
            
            redirect("index.php");
        }

Noviy

Дата 27.4.2010, 21:44 (ссылка)

(нет голосов)

Загрузка ...

Шустрый

Профиль
Группа: Участник
Сообщений: 98
Регистрация: 29.11.2007

Репутация: нет
Всего: нет

Я бы к IP не привязывался, поскольку много провайдеров используют динамический IP.

Код


if(isset($user['login']) && $_COOKIE['password'] == md5($ip_addr.$user['password']))

Можно прописать

Код


if($_COOKIE['login'] && $_COOKIE['password'] ) {
  //Вызов функции авторизации.
}

Это сообщение отредактировал(а) Noviy - 27.4.2010, 21:52

NewDima

Дата 28.4.2010, 08:59 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 922
Регистрация: 20.2.2006
Где: <?here?>

Репутация: 10
Всего: 12

Осталось только своровать хэш пароля и логиниться третьему лицу без проблем. Схема абсолютно не безопасна

--------------------

Начинаем черкать!

Noviy

Дата 28.4.2010, 10:20 (ссылка)

(нет голосов)

Загрузка ...

Шустрый

Профиль
Группа: Участник
Сообщений: 98
Регистрация: 29.11.2007

Репутация: нет
Всего: нет

NewDima - Ваш ответ можно применить к любому скрипту аутентификации.
"Осталось только своровать пароль и логин, от любого аккаунта(сайта, сервера итд) третьему лицу и логиниться без проблем. Схема абсолютно не безопасна."

NewDima

Дата 28.4.2010, 10:41 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 922
Регистрация: 20.2.2006
Где: <?here?>

Репутация: 10
Всего: 12

Здесь нужно всего-лишь похитить куку. Гуглите по вопросу похищения кук

--------------------

Начинаем черкать!

linuxoid

Дата 30.4.2010, 19:13 (ссылка)

(нет голосов)

Загрузка ...

Бывалый

Профиль
Группа: Участник
Сообщений: 180
Регистрация: 17.4.2005

Репутация: нет
Всего: нет

Спасибо за инфу. Есть о чем поразмыслить smile

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| PHP: Общие вопросы \| Следующая тема »