Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter
Mais je l'avais déjà souligné ;-)Envoyé par RunCodePhp
@alain31tl
Tu peux exploiter les cookies, faut juste se restreindre à ne pas stocker n'importe quoi, c'est tout
Bon, un sujet qui risque de durer longtemps, je vous laisse prendre soin de solutionner celui d'ixabro.
Pis attention, fô pas devenir parano non plus.
Bye dans cette file et à ses intervenants.
bot PHP sécurité
Alain31tl,
Sache qu'avec vos nombreuses réponses et discutions, vous m'avez appris de certaines choses sur le système de session et surtout vous avez répondu à plusieurs de mes questions et je vous en remercie.
Je continue à m'instruire dans ce domaine.
Mon site portant sur un systeme de gestion utilisateurs avec manipulation de dossiers et fichiers, j'aimerai avoir une certaine assurence avant de commencer la partie code gestions files qui sera tout autre chose.
Justement j'allais vous proposer une relance de discution sur les Bots PHP qui semblent assez interessant suivant leur code, si vous voulez bien.
Si je peux donner un exemple, je dirai que dans mon cas, j'aurais besoin d'un bot detecteur de modifications de fichiers, si c'est le cas, le bot m'envoie un rapport avec le chemin relatif du fichier et (la personne qui a modifié le fichier ... on peut ?) et la date de modification.
Sinon un bot d'analyse pour les connections au compte :
Par exmple : visiteur francais -> connection -> deconnection
( 1 à 60sec après) visiteur russe/japonnais -> connection (SUSPECT)
rapport du bot, envoie mail à l'administrateur
Est ce vraiment utile ce genre de bot ? (doute, car ça touche les ips et ...)
Qu'en pensez vous ?
Savoir qui a modifié un fichier ?Si je peux donner un exemple, je dirai que dans mon cas, j'aurais besoin d'un bot detecteur de modifications de fichiers, si c'est le cas, le bot m'envoie un rapport avec le chemin relatif du fichier et (la personne qui a modifié le fichier ... on peut ?) et la date de modification.
J'en sais trop rien, je dirais qu'il faudrait demander ça à un administrateur système (j'suis nulle sur ce point).
Au feeling, je dirais qu'il sera difficile voir impossible de le savoir, car c'est lié au système de fichier, et si un pirate parvient à modifié un fichier, ça sous entend qu'il est parvenu à obtenir les droits suffisants pour le faire, c'est surement lié au CHMOD, (sous Linux) group - utilisateur - lecture/écriture/exécution.
Pour avoir des informations détaillées, faudrait plutôt analyser Apache, voir le système lui même au niveau des logs, qui eux enregistrent toutes les requêtes HTTP, chaque accès aux fichiers, etc ...
Par contre, faire une sorte de Géolocalisation, (ou Géomarketing, je ne sais pas trop le terme) pour savoir d'où provient la requête HTTP, c'est une piste que certain Soft explorent (payant à mon avis).
Ca commence à venir, ça intéresse pas mal de monde, particulièrement le secteur du e-commerce, ceci dans le but de savoir d'où vient l'acheteur. Une zone géographique à risque ou pas ?
Leur principe (apparemment), c'est d'avoir une base de données (théoriquement énorme) remplie d'adresses IP et de leur provenance.
L'idée me semble pas mal, à condition que leurs infos soient fiables, et surtout pour les IPs des pirates, c'est eux qu'il faut détecter tout particulièrement.
Si une Géolocalisation d'un pirate débouche sur une zone comme la France, ça sert à rien.
Un truc en tout cas où un particulier aura beaucoup de mal à faire.
Si c'est cela que tu recherche, et bien prospecte le Net (GG entre autre).
Faire un bot ? Pourquoi un bot ?
Pourquoi ne pas analyser de suite la provenance, ce qui permettra de l'éjecter immédiatement si c'est suspect.
En tout cas, pour le principe, pourquoi pas.
Ceci dit, n'oublie pas qu'il y a le SSL, donc crypter les données rendra particulièrement compliqué le vol de session.
Je connais le terme SSL mais comme ce procédé fonctionne t'il ?
Bon je me suis renseigné sur l'SSL.
J'ai exploité ta méthode des sessions via la base de donnée et justement j'ai un petit soucis.
Quand je tente d'ouvrir une session quand je me connecte sur mon propre site, la fonction session_id(), ne donne rien.
Cela est étrange... dans la base de données il n'y a rien, le ssid est vide.
Quand je tente un $var = session_id() et echo $var il n'y a rien... ? Est ce normal ?
Je ne sais pas comment tu procède au niveau de ta Bdd, mais cette solution n'est pas des plus simples, faut le savoir.
La doc Php donne une idée du comment gérer les session dans une Bdd :
http://fr2.php.net/manual/fr/functio...ve-handler.php
Répondre avec citation
Partager