Sécurité, cryptage, est il possible d'afficher un script php
Bonjour, ayant parcouru quelques forums à ce sujet, la conclusion semble assez net, il serait impossible d'afficher le code ou les données insérées dans un coode php côté client ou il aurait là une énorme faille.
D'autre part j'ai lu à l'instant l'excellent article ici même :
http://grunk.developpez.com/tutoriel...sse-securises/
Et du coup je me pose la question de savoir si cela concerne uniquement la base de donnée ou si (part exemple) le mot de passe) est aussi concerné dans sa sécurité quand il est stocké dans un fichier php
Si dans ce dernier cas il l'était, des scripts que l'on trouve à la volée sur internet seraient dangereux? Car les identifiants et mots de passes y sont écrit en clair...
exemple:
Code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| <?php
// On définit un login et un mot de passe de base pour tester notre exemple. Cependant, vous pouvez très bien interroger votre base de données afin de savoir si le visiteur qui se connecte est bien membre de votre site
$login_valide = "mon-identifiant";
$pwd_valide = "mon-mot-de-passe";
// on teste si nos variables sont définies
if (isset($_POST['login']) && isset($_POST['pwd'])) {
// on vérifie les informations du formulaire, à savoir si le pseudo saisi est bien un pseudo autorisé, de même pour le mot de passe
if ($login_valide == $_POST['login'] && $pwd_valide == $_POST['pwd']) {
// dans ce cas, tout est ok, on peut démarrer notre session
// on la démarre :)
session_start (); etc......... |
Ou faudrait-il dans ce cas prévenir l'utilisateur du code qu'il a tout intérêt à 'hasher' son password.
Mais dans la mesure où il serait impossible d'afficher le code php, dans ce cas pas de risque^^?
Je serais heureux d'avoir un ou des avis compétents...
Par avance merci.
mot de passe mdp crypté dans fichier txt texte config php
Merci pour réponses ;) alors pour commencer simple, j'ai tenté (à la façon d'un .htaccess / .htpasswd) d'employer le code (ci-dessus) et dans un 1er temps de crypter le mot de passe qui se trouve dans dans le fichier config/config.php
disons :
Code:
1
2
3
4
5
6
| <?php
$pass_admin="$1$FO43ABNP$v2mYe7BEG0eyH5ONyQIx1"; // Password admin CRYPTE
echo $_POST['admin'];
$ligne=$admin.":".crypt($pass);
session_start(); // On lance la session
?> |
Je laisse le formulaire d'envoi tel-quel >> et comme ça ne fonctionne pas, j'écris le "real path" dans le fichier de transit 'login.php'
Code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
|
<?php print "Bonjour : ";
if (!isset($_POST['txt'])) {
$txt = $_POST['pass'];
if (preg_match('~[#[{<"/">}\];]~', $txt))
die ('<span style="color:red">Par mesure de sécurité,</span><br />
Ces carractères spéciaux ne sont pas autorisés [#[{<"">}\];]</i>: '.$ligne.'
<br />
Merci pour votre compréhention.<br />RETOUR <a href="formulaire.html">ICI</a>');
} // chemin complet du fichier config >>>>>>>
include("/web/monsite/www/dossier/DB-txt/config/config.php"); // On inclut config.php
$pass=$HTTP_POST_VARS["pass"]; print " , "; // $pass vient d'un formulaire POST
if ($pass_admin==$pass){ // Si le pass envoyé est bien celui de config.php...
session_register("pass"); // ... on enregistre la session $pass
}else{ // Sinon,...
die("Mauvais mot de passe. <a href='formulaire.html'>Veuillez essayer à nouveau...</a>"); // ... on affiche un message d'erreur et on arrête le script.
}
?><a href="page-admin.php">Réussite, cliquez ici</a> ?> |
Et même avec le real path ça ne fonctionne pas, ma question, comment crypter et accédes à l'identification dans une configuration comme celle-ci?
