Frage zu Aufbau und Sicherheit eines Logins mit PHP

[Gladiator6]

Hallo

Ich habe ein Login Script geschrieben, das so auch funktioniert. Ich habe das aber nicht genau nach einem Tutorial gemacht, sondern selber etwas versucht! Nur weiss ich jetzt nicht so genau ob das Punkto Sicherheit etwas taugt, und wie ich besser machen sollte!

In der Datenbank gibt es eine Tabelle user unter anderem mit den spalten username password (md5) und rights!

Auf der Seite wo man sich einloggen kann, wird Benutzername und Passwort eingegeben! Anschliessend wird eine SELECT * Abfrage durchgeführt. Falls der Rückgabewert ein Array ist, sind also Benutzername und Passwort vorhanden!

rights=1 bedeutet user, rights=2 bedeutet admin!

Danach setze ich $_SESSION['userID'] und $_SESSION['rights']!

Nun mache ich folgende Abfrage bei jeder Seite die geschützt werden soll:

if($_SESSION['rights']==1 or $_SESSION['rights']==2){
echo "Das ist der Inhalt der geschützten Seite";
}
else{
echo "du musst dich zuerst einloggen";
}

für den Logout mache ich folgendes:

auf den Unterseiten habe ich einen Link <a href='startseite.php?logout=1'>Logout</a>

In der ersten Zeile der Startseite habe ich folgenden Code:

<?php 
session_start();
if($_GET['logout']==1){
    session_destroy();
    header("Location: startseite.php");
}
?>

Das ganze funktioniert, jedoch weiss ich eben nicht so genau wies um die Sicherheit steht!

 

[splasch]

Das ganze funktioniert, jedoch weiss ich eben nicht so genau wies um die Sicherheit steht!

Naja sagen wir mal so die Sicherheit ist nicht gerade hoch bei diesen Script. Aber ausreichend für die meisten Gängigen sachen.

Mfg Splasch

 

[Gladiator6]

Was konkret könnte/sollte man ändern, um die Sicherheit zu erhöhen?

 

[splasch]

Das komplette Script umschreiben eben alles was damit zu tun hat. Je mehr du prüfst um so sicherer wird das ganze.

Kommt auch immer drauf an was du alles erreichen möchtest. Ob nun 2 User gleichzeitig eingelogt sein dürfen oder nicht und so weiter. crose side angriffe /sql injection und und...

Lies dazu hier:
http://www.tutorials.de/forum/php/240856-sicherheit-php.html

Mfg Splasch

 

[actvideo]

Guck hier - das haste alles was du brauchst

http://www.phpbuddy.eu/login-systeme-einfach-bis-profi.html

 

[Gladiator6]

Vielen Dank

Wirklich eine nützliche Seite Die Login Scripts sind gut erklärt, so dass man als fortgeschrittener PHP User sicherlich damit klar kommen sollte!