[Sécurité] Sécurité sur une page admin [Résolu]

[orbitalxp]

Bonjour,

je voulais savoir si avec une simple verification de la présence d'une variable session comme ceci :

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
session_start();
 
if(isset($_SESSION['username']) && isset ($_SESSION['password']))
 
{ ici acces a l administration du site ...
}
 
else {
 
	 echo 'Vous n êtes pas autorisé à accéder à cette page.';
 
	 }
 
?>

c'était suffisant niveau sécurité.

Merci

[SpiritOfDoc]

Je te conseil de lire cette documentation disponible sur php.net .

[Edit] : Ce que tu nous montres est très simple, et peut être facilement détourné. Il faut beaucoup plus de rigueur et ne pas oublier session_register();

See you

[orbitalxp]

Merci pour ta réponse, j'ai essayé autre chose
est-ce mieux comme ceci? :

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
<?
 
session_start();
 
 
		// Connexion à la base de données		
		$db = mysql_connect ('localhost', 'root', '');
		mysql_select_db ('mysql',$db);
		$req = "SELECT username, password FROM users WHERE username = '".$_SESSION['username']."' ";
		$res = mysql_query ($req) or die ('Erreur :'.mysql_error());
		$data = mysql_fetch_array($res);
 
if ($_SESSION['username'] == $data['username'] && $_SESSION['password'] == $data['password']) 
	{
	echo 'Bienvenue <span style="color: 0000FF;">' . $_SESSION['username'] . '</span><br><br>';
	echo '<a href="admin.php?manage=news">Gérer les news</a><br>';
	echo '<a href="acces.php?acces=manage">Gérer les droits d\'accès</a><br>';
	echo '<a href="admin.php?manage=gallery">Gérer les images</a><br><br>';
	echo '<a href="logout.php">Logout</a><br><br>';
	}
 
//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
 
else {
	 echo '<br><br><br>';
	 echo '<font size="2" face="Verdana"><center>Vous n\'êtes pas autorisé à accéder à cette page.</center></font>'.'<br>';
	 echo '<font size="2" face="Verdana"><center><a href="Untitled-1.php">Retour</a></center></font>';
	 }
?>

merci

[SpiritOfDoc]

Le problème dans ton script, c'est que n'importe qui peut arriver à administrer (au passage, il faut que sur toutes tes pages d'administration tu re-vérifies que la personne soit bien un admin).

Il faut pour éviter cela ajouter une table `grade` (ou autre) avec comme niveau, par exemple :
0 -> Banni
1 -> Simple membre
2 -> Modérateur
3 -> Administrateur

et tu vérifies que la personne soit bien un administrateur. (Tu peux utiliser un tableau pour ça)

See you.

[orbitalxp]

Envoyé par SpiritOfDoc

Le problème dans ton script, c'est que n'importe qui peut arriver à administrer (au passage, il faut que sur toutes tes pages d'administration tu re-vérifies que la personne soit bien un admin).

Il faut pour éviter cela ajouter une table `grade` (ou autre) avec comme niveau, par exemple :
0 -> Banni
1 -> Simple membre
2 -> Modérateur
3 -> Administrateur

et tu vérifies que la personne soit bien un administrateur. (Tu peux utiliser un tableau pour ça)

See you.

yop,

mais en fait j'ai une table "users" qui contient uniquement des administrateurs.

ce n'est pas une zone de login pour membres, c'est justes pour des administrateurs.

J'ai l'impression que tu consideres ca comme un truc login pour membres , administrateurs & cie.

Je me trompe?

Merci

[SpiritOfDoc]

En effet, je pensais que tu avais une seule et même table (je suis pas devin, pas encore :')).

Fait un session_register('nom'); et ensuite fait une verification du style :

Code :

1
2
3
4
5
6
7
if(!session_is_registered('nom')) {
 $_SESSION = array();
 session_unset(); 
 session_destroy();
 header('location: index.php');
 die(); 
}

Enfin, ça c'est de tête ... donc j'suis pas sur à 100% que cela fonctionne.

[julp]

Attention : les fonctions session_register, session_unregister, session_is_registered et session_unset sont dépréciées. Il convient donc de les remplacer :

Code :

1
2
3
4
5
6
$var = 'foo';
session_register('var');
 
# devient
 
$_SESSION['var'] = 'foo';

Code :

1
2
3
4
5
if (session_is_registered('var')) {
 
# devient
 
if (isset($_SESSION['var'])) {

Code :

1
2
3
4
5
session_unset('var');
 
# devient
 
unset($_SESSION['var']);

Pour de plus amples informations, voir le tutoriel dédié aux sessions.


Julp.

[orbitalxp]

ok, merci à vous deux.