Beste leden,

Ik zit met het volgende probleem:

Ik ben bezig met een online rpg game, alleen kan iemand door middel van cookies zichzelf admin maken en dus de site hacken. Weet iemand hoe iemand dit doet? Ik wil graag mijn spel online zetten, maar met deze slechte beveiliging durf ik dat niet aan.

De login.php van de site is hier te vinden: http://www.pastebin.be/548/

Als iemand me hierbij zou kunnen helpen, Graag!

Cookie's zijn idd makkelijkte hacken, Je sessions gebruiken dat is bijna onmogelijk.

Ik heb je toegevoegt @ msn.

Ok bedankt, ik wacht af wanneer je online bent :)

Origineel gepost door Tim Goudriaan

Cookie's zijn idd makkelijkte hacken, Je sessions gebruiken dat is bijna onmogelijk.

Ik heb je toegevoegt @ msn.

Waar worden sessions normaal in opgeslagen dan? Magische bestanden ergens op een geheime locatie?
Een sessionid komt ook ofwel in de URL (ook niet iets wat je echt wilt meestal) of in een cookie...

Met de cookies heb ik nog niet onderzocht, maar ik zie dat je zonder pardon userinput in de query zet:

mysql_query("SELECT * FROM `gebruiker` WHERE `login`='{$_POST['login']}' AND `pass`='{$_POST['pass']}'");

Moet je nooit doen, dan kunnen ze malicious code 'injecten'. Je moet altijd userinput valideren, door bijvoorbeeld te kijken of er alleen cijfer en letters inzitten.

En met alleen cijfers en letters is het wel veilig? Ik denk dat je onder andere eens een blik moet werpen op mysql_real_escape_string().

session's zijn 100% veilig die kan je zelf niet bewerken (zonder php code). want die komen op de server terecht waar dus alleen de eigenaar bij kan.

Origineel gepost door Tim Goudriaan

session's zijn 100% veilig die kan je zelf niet bewerken (zonder php code). want die komen op de server terecht waar dus alleen de eigenaar bij kan.

De gegevens die in een sessie worden gebruikt zijn wel veilig, maar de sessie-id wordt nog altijd door de client meegestuurt en kan dus onderschept worden.

Zeg je nu dat er totaal geen data op de client komt en alleen op de server, Tim? Dan zou ik nog eens goed lezen...

Tim is me nu iig erg goed aan het helpen :) Niks is 100 % veilig, maar voor de toepassing waarvoor het gebruikt wordt is het prima :)

Je kunt ook een cookie maken die alleen een hash opslaat van een aantal variabelen. Een hash maak je door bijvoorbeeld md5($ip_user . $current_time . $willekeurig_getal) te doen. Dan krijg je een code 32 cijfers/letters, deze zet je in een database en daar koppel je dan serverside wat dingen aan. Dan heb je sessies die je kunt bewaren.