essayer de rentrer dans l'espace sécurisé ça vous dit?
essayer de rentrer dans l'espace sécurisé ça vous dit? - PHP - Programmation
Marsh Posté le 13-03-2003 à 21:32:02
| fbthereturn a écrit : voila, j'ai fait ça pour mon stage... |
Ya toujours un moyen (faille de php etc...), mais on peut dire qu'une autentification avec PHP est relativement sûre.
Marsh Posté le 13-03-2003 à 21:58:10
Index of /stagefrancois/menuAdministration
Parent Directory
ajout_enregistrement.php
consultation_table.php
deconnexion_adm.php
gerer_catalogue.php
gerer_famille.php
gerer_type.php
identification_adm.php
menu_administration.php
verification_ident.php
protège ca aussi
sinon à part recupérer les $ transmisent par ta session PHPSESSID" value="0e59e06923cda9ca44a3b4be87847c70"
(je pense que ca doit etre possible avec un peu de chance..)
je trouve ca pas mal.
si tu l'as fais C bien sinon n'oubli pas de tester si l'adresse IP du visiteur est la même dans chaques pages
Marsh Posté le 13-03-2003 à 22:11:22
et comment on fait pour proteger les fichiers? parce que sinon, aprés, je ne peux plus y acceder à partir des autres pages.....
euh
"sinon à part recupérer les $ transmisent par ta session PHPSESSID" value="0e59e06923cda9ca44a3b4be87847c70"
(je pense que ca doit etre possible avec un peu de chance..)
je trouve ca pas mal."
tu as réussi à voir mes pages à l'interieur?
ou comment tu sais ça?
euh l'ip non, j'ai pas encore vérifié.. :-)
Marsh Posté le 13-03-2003 à 23:22:52
| fbthereturn a écrit : voila, j'ai fait ça pour mon stage... |
Tu veux pas savoir si on peut acceder facilement aux tables j'espere ... 
Pasque si c'est ca, la 1ere chose c'est quand meme de mettre un mot de passe un chouia plus compliqué
Marsh Posté le 13-03-2003 à 23:33:00
| benj9002 a écrit : |
t'as mon mot de passe? (si oui en message privé ... )
Marsh Posté le 14-03-2003 à 12:01:34
| fbthereturn a écrit : |
C'est bien d'avoir changé de MdP ... la première base de la sécurité, c'est quand meme de pas mettre un mot de passe à 2 balles
Marsh Posté le 14-03-2003 à 22:55:36
| Chrono a écrit : Index of /stagefrancois/menuAdministration |
je voulais juste savoir, comment tu fait pour transmettre l'ip d'une page a l'autre ? par la bdd ??
Marsh Posté le 14-03-2003 à 23:05:19
| Big-Foot a écrit : |
héhéhé... c cûr que c pas terrible ça. 
Le mieux c'est de tester le referer pour être sûr que la page n'est pas appelée directement
Marsh Posté le 14-03-2003 à 23:05:23
| Chrono a écrit : si tu l'as fais C bien sinon n'oubli pas de tester si l'adresse IP du visiteur est la même dans chaques pages |
Ouais, ben çà c'est pas évident a faire.
Certains clients change d'ip à chaque requête.
J'ai vu le cas sur un site que j'ai fais ou je voulais vérifier que l'ip ne changeait pas pour un même id de session. Ben je suis tombé sur des clients venant de la SNCF ou d'autre grosses bôite. Ils ont plusieurs routeurs chez eux pour l'accès internet, et faut croire qu'ils se partagent le travail. J'ai été obligé de laisser tomber !
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 14-03-2003 à 23:08:11
| Big-Foot a écrit : |
L'adresse ip, c'est le client qui te l'envoie !
Il suffit de la stocker en session la première fois et de vérifier ensuite que c'est bien la même.
Mais comme je viens de le dire, ben y'a des clients pour qui ont peut pas le faire. A toi de voir.
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 14-03-2003 à 23:09:26
| Hermes le Messager a écrit : |
Le referer n'est pas une info fiable.
Certain client ne l'envoient pas, et c'est trop facile à falcifier.
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 14-03-2003 à 23:18:11
| Citation : L'adresse ip, c'est le client qui te l'envoie ! |
ah oui les sessions j'y est pas pensé 
mais en fait si il y a des gens qui change d'ip, et ceux qui envoient pas le referer, faut faire comment ?
Marsh Posté le 14-03-2003 à 23:24:14
| Big-Foot a écrit : mais en fait si il y a des gens qui change d'ip, et ceux qui envoient pas le referer, faut faire comment ? |
Ben t'est obligé de faire confiance aux id de sessions.
Tout dépend du niveau de sécurité demandé.
Si c'est sensible, il faut passer pas https, mais c'est très gourmand en CPU.
Message édité par Mara's dad le 14-03-2003 à 23:24:34
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 14-03-2003 à 23:26:59
| Mara's dad a écrit : |
ya comme une méprise je crois. Je ne parle pas du referer (du site ou de ce qu'il veut) renvoyé par le client. On s'en fout complêtement de ce qui est renvoyé exactement par le client. Si la page n'a pas été appelée PAR LE SERVEUR, on décide que la page n'a pas à s'afficher.
PS : c'est d'ailleurs une des recommandations dans la doc de PHP. j'invente rien.
Message édité par Hermes le Messager le 14-03-2003 à 23:32:03
Marsh Posté le 15-03-2003 à 00:34:12
Hermes, tu peux donner plus d'info stp? j'ai du mal à te suivre là
Marsh Posté le 15-03-2003 à 00:53:59
Ben ya rien à suivre, c très simple : Si le HTTPreferer ne renvoie pas http://www.tonsite_qui_est_sur_ton [...] la_requête , ben tu dis : STOP.
Marsh Posté le 15-03-2003 à 00:54:52
| Hermes le Messager a écrit : |
Si le serveur se cause à lui tout seul, c'est sûr qu'il n'y a pas de pb
Le referer, c'est l'info disponible dans la variable $_SERVER['HTTP_REFERER']
Cette variable EST ENVOYEE PAR LE CLIENT. Elle est cencée contenir l'url de page d'ou vient le client.
http://www.php.net/manual/en/reserved.variables.php
| Citation : The address of the page (if any) which referred the user agent to the current page. This is set by the user agent. Not all user agents will set this, and some provide the ability to modify HTTP_REFERER as a feature. In short, it cannot really be trusted. |
Si tu parles d'un autre referer, je m'incline, mais j'aimerai bien savoir qui c'est.
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 15-03-2003 à 00:57:21
| Mara's dad a écrit :
|
Non non, je parle bien du même referer. Mais si le client peut 'truquer' le référer en refusant par exemple de renvoyer celui-ci, c'est une chose. Mais truquer le referer pour lui demander de renvoyer EXACTEMENT la page d'où doit provenir la requête en est une autre.
Je ne dis pas que c'est un moyen infalsifiable, mais ça en arrête déjà plus d'un.
PS : De plus, masquer le referer est un choix délibéré de la part d'un internaute. C'est donc déjà limite comme attitude, surtout quand on parle d'autentification pour une page sécurisée. Je dis ça, pour pas qu'on puisse dire que cela handicaperait tel ou tel user.
PS2 : ça fait partie des recommandations de la doc de PHP (j'arrive plus à trouver où exactement, ça m'énerve...) Ils recommandent même de faire ça sur toutes les pages... (un peu abusé je trouve).
En ce qui me concerne, j'utilise les sessions.
Message édité par Hermes le Messager le 15-03-2003 à 01:07:21
Marsh Posté le 15-03-2003 à 01:05:11
C'est improbable, donc c'est suffisant 
Sinon, pour la vérif par adresse ip du client, y'a un truc à essayer avec gethostbyaddr($_SERVER['REMOTE_ADDR']);
Les clients qui ont plusieurs adresses ip ont peut-être quand même le même nom.
J'ai pas pu utiliser çà. Le firewall de la DMZ interdit au serveur web de faire des requêtes vers l'extérieur !
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 15-03-2003 à 01:06:51
C'est pas forcément louche, le referer n'est pas renvoyé pas tous les navigateurs !
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Marsh Posté le 15-03-2003 à 01:08:23
| Mara's dad a écrit : C'est pas forcément louche, le referer n'est pas renvoyé pas tous les navigateurs ! |
Il est DESACTIVABLE sur certains navigateurs, nuance (cf : Opera par exemple).
Marsh Posté le 15-03-2003 à 11:06:20
hum ça me dit pas si les sessions php sont fiables?
et si on peut réussir à rentrer dans mon espace sécurisé...
http://membres.lycos.fr/stagefrancois
Marsh Posté le 15-03-2003 à 20:34:44
Pouvoir rentrer dedans ne veux pas dire qu'il n'est pas fiable et que ce n'est pas sécurisé..
Qst: Est ce que les serveurs du FBI sont fiables et bien sécurisées? (je pense que oui...) pourtant les peines encourues en cas d'intrusion sont lourdes...
Donc si on peux s'introduire la bas, imagine dans ton serveur à 2 francs 50 !!
Les sessions php sont biens si tu ne marques pas ton n° de carte bleue avec son code sur chaque une des pages..
PS: sinon...
session_start
if($ip != $REMOTE_ADDR)
{exit();echo"casse toi";}
Marsh Posté le 16-03-2003 à 00:39:59
| Chrono a écrit : if($ip != $REMOTE_ADDR) |
J'm'en fout, le "casse toi" y s'affichera jamais
---------------
Laissez l'Etat dans les toilettes où vous l'avez trouvé.
Sujets relatifs:
- espace libre sur ftp
- [C] logiciel pour verifier que tout l'espace alloué par des malloc etc
- [HTML] comment traduire un espace en html ?
- formatter echo "" et remplacer les occurences ' par un espace
- libération espace mémoire PHP
- Wanadoo.fr est il bien sécurisé ?
- [HTML|JS] balise form et espace sous IE
- [ASP] Espace dans un champ de BDD, comment utiliser ?
- [ASP] Connaitre l'espace disque restant
- [HTML] comment on met un espace entre des images sur une page html ?
Marsh Posté le 13-03-2003 à 21:27:33
voila, j'ai fait ça pour mon stage...
http://membres.lycos.fr/stagefrancois
et je voulais savoir si c'était bien sécurisé...
ou si il y a un moyen d'y rentrer... :-(