چجوری این صفحه login خودم رو ایمنش کنم؟

[eliTive]

سلام دوستان
توضیحاتی رو که دوستان تو انجمن دادن در مورد استفاده از توابع من متوجه نشدم ، من اسکریپت صفحه LOGIN خودم رو می زارم لطفا شما کد امن شدش و اصلاح شده رو که امنیتش بالا باشه رو برام قرار بدید یعنی اگه جایی باید از تابعی استفاده کنم بگید و کد اصلاح شدش رو بزارید. لطفا توضیحم بدید تا خودمم یاد بگیرم.

قربون دستتون،

if ( isset($_POST['username']) && isset($_POST['password']) ) {

$query = mysql_query("select * FROM table where username = '{$_POST['username']}' and password = '{$_POST['password']}'");
        if ( mysql_num_rows ( $query ) ) {
                session_start();
                $user = mysql_fetch_assoc($query);
                $_SESSION['id']=$user['id'];
                header ( 'location: index.php' );
        } else {
            echo "نام کاربری و یا کلمه عبور اشتباه است .";
        }  
        
} else {
echo "
// کد HTML برای نمایش فرم
";

}

 

[foranyone]

این الان به راحتی inject میشه !

از mysql_real_escape_string

ورودی های post رو رد کن !

 

[Mr.Steres]

ای پی و مرورگر کاربر هم بریز توی سشن !

 

[aallahparast]

یه Count هم از کوئریت بگیر == 1 کن چون ممکنه 2 تا یوزر داشته باشی و هم نام باشن
کد امنیتی هم فراموش نشه
فیلتر هم دوستان توصیه کردن

 

[eliTive]

این الان به راحتی inject میشه !

از mysql_real_escape_string

ورودی های post رو رد کن !

من هنوز تو استفاده از توابع یکم گیج می زنم
می شه لطف کنید و تو کد من از این تابع استفاده می کنید، یعنی این تابع رو تو کدی که من گذاشتم استفاده کنید و بعد کد رو قرار بدید چون نمی دونم چجوری باید ازش استفاده کنم تو انجمن هم زیاد در مورد شنیده بودم ولی بلد نیستم دیگه ، شرمنده

می شه کار هایی رو که mr.steres جان و aallahparast هم گفتن رو توش اعمال کنید چون این کار ها رو هم بلد نیستم، فقط captcha رو بلدم لطفا یکمم توضیح بدید که captcha رو هم چجوری چک کنم.

قربان دست همتون

 

[Mr.Steres]

<?php
session_start();
$_SESSION['brower'] = md5 ( md5 ($_SERVER['HTTP_USER_AGENT']) ) ;
$_SESSION['ip'] = md5 ( md5 ($_SERVER['REMOTE_ADDR']) ) ;
?>

سعی کنید یه مقدار فکر و جستجو کنید . با کد اماده چیزی یاد نمی گیرید ...

 

[eliTive]

برای امن کردنش از :

$user = mysql_real_escape_string($user);
$pwd = mysql_real_escape_string($pwd);

استفاده کردم (اگه اشتباه هست بگید)

از کد mr.steres جون هم استفاده کردم، اگه برای امن شدنش چیز های دیگه ای هم نیاز داره لطفا همینجا بگید.

 

[Masoud1365]

کلا وقتی که میخوایی پسورد رو داخل دیتا بیست ذخیره کنی سعی کن که اونو hash کنی !