[Sécurité] Espace membre et page administration

Version imprimable

Bonjour,
je débute dans le php.
Pour mon site j'ai créé une page membre. Je voudrais savoir si elle est sécurisé ou je risque de me faire attaquer mon site.
Merci d'avance.

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
 
<?php
session_start(); 
 
//--regarde si cookie ou session existe et créé les variable correspondante-//
//////////////////////////////////////////////////////////////////////////////
if(isset($_COOKIE['pseudo']))												//
{																			//
$recuperation_pseudo=$_COOKIE['pseudo'];									//
$recuperation_mot_de_pass=$_COOKIE['mot_de_pass'];							//
}																			//
elseif(isset($_SESSION['pseudo']))											//
{																			//
$recuperation_pseudo=$_SESSION['pseudo'];									//
$recuperation_mot_de_pass=$_SESSION['mot_de_pass'];							//
}																			//
//////////////////////////////////////////////////////////////////////////////
 
//verification si le pseudo existe puis le mot de pass\\
if(isset($recuperation_id) AND isset($recuperation_mot_de_pass))
{
mysql_connect("localhost","root","");
mysql_select_db("test");
$retour=mysql_query("SELECT COUNT(*) AS nbre_personne FROM membres WHERE pseudo='$recuperation_pseudo'");
$donnees=mysql_fetch_array($retour);
	if($donnees['nbre_personne']==1)
	{
	$retour=mysql_query("SELECT * FROM membres WHERE pseudo='$recuperation_pseudo'");
	$donnees=mysql_fetch_array($retour);
	$b_mot_de_pass=$donnees['mot_de_pass'];
		if($b_mot_de_pass==$recuperation_mot_de_pass)
		{
		$b_niveau=$donnees['niveau'];
		$b_id=$donnees['id'];
		}
	}
mysql_close();
}
else
{
$b_niveau="0";
}
 
 
 
 
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}
 
 
?>

18/06/2007, 13h47
Yoshio

Stocker le mot de passe dans la session c'est pas tres sécurisé.

Ensuite lors ta requete sql tu n'a aucune protection contre les injections sql.

Tu pourrais peut être lire ceci :
- http://julien-pauli.developpez.com/t...-web-securite/ (sur dvp en français)
- http://phpsecurity.org/ch04.pdf (en anglais)
18/06/2007, 14h09
snyfir

il faut que je fasse comment alor ?
18/06/2007, 14h14
Yoshio

Peut être commencer par lire les 3 liens que j'ai t'ai passé.
18/06/2007, 14h16
Wharenn

Pas sécurisé non plus contre le vol de sessions, vérifier sur chaque page que l'ip de l'utilisateur est bien l'ip qu'avait la personne quand elle a ouvert la session peut un peu renforcer la sécurité (mais pas infaillible en cas de réseau local)

Regarde ici, y'a pas mal d'idées pour la sécurité :
http://www.developpez.net/forums/showthread.php?t=12254

Merci pour vos réponse.

j'ai lu les liens, mais je suis novice en la matière et n'est donc pas tout compris.
J'ai commencé a me protéger contre les injection sql :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
 
<?php
session_start(); 
 
//--------------------------------------------------------------------------//
//--regarde si cookie ou session existe et créé les variable correspondante-//
//--------------------------------------------------------------------------//
 
if(isset($_COOKIE['pseudo']))											
{																		
$recuperation_pseudo=$_COOKIE['pseudo'];								
$recuperation_mot_de_pass=$_COOKIE['mot_de_pass'];						
}																		
elseif(isset($_SESSION['pseudo']))											
{																			
$recuperation_pseudo=$_SESSION['pseudo'];									
$recuperation_mot_de_pass=$_SESSION['mot_de_pass'];						
}																		
 
 
 
 
 //---------------------------------------------------------------------//
 //      protection contre les injection sql							//
 //----------------------------------------------------------------- ---//
$recuperation_pseudo = htmlentities($recuperation_pseudo, ENT_QUOTES);
$recuperation_pseudo = addslashes($recuperation_pseudo);
$recuperation_pseudo = mysql_real_escape_string($recuperation_pseudo);
 
$recuperation_mot_de_pass = htmlentities($recuperation_mot_de_pass, ENT_QUOTES);
$recuperation_mot_de_pass = addslashes($recuperation_mot_de_pass);
$recuperation_mot_de_pass = mysql_real_escape_string($recuperation_mot_de_pass);
 
 
//--------------------------------------------------------------------------//
//   Verification du mot de pass et pseudo et créé la variable niveau		//
//--------------------------------------------------------------------------//
if(isset($recuperation_id) AND isset($recuperation_mot_de_pass))
{
	if($recuperation_pseudo!=NULL AND $recuperation_mot_de_pass!=NULL)
	{
	mysql_connect("localhost","root","");
	mysql_select_db("test");
	$retour=mysql_query("SELECT COUNT(*) AS nbre_personne FROM membres WHERE pseudo='$recuperation_pseudo'");
	$donnees=mysql_fetch_array($retour);
		if($donnees['nbre_personne']==1)
		{
		$retour=mysql_query("SELECT * FROM membres WHERE pseudo='$recuperation_pseudo'");
		$donnees=mysql_fetch_array($retour);
		$b_mot_de_pass=$donnees['mot_de_pass'];
			if($b_mot_de_pass==$recuperation_mot_de_pass)
			{
			$b_niveau=$donnees['niveau'];
			$b_id=$donnees['id'];
			}
		}
	mysql_close();
	}
}
else
{
$b_niveau="0";
}
 
 
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}
 
 
?>

Si j'ai bien compris,
il me reste plus ca protéger ma session :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
 
//--------------------------------------------------------------------------//
//--regarde si cookie ou session existe et créé les variable correspondante-//
//--------------------------------------------------------------------------//
 
if(isset($_COOKIE['pseudo']))											
{																		
$recuperation_pseudo=$_COOKIE['pseudo'];								
$recuperation_mot_de_pass=$_COOKIE['mot_de_pass'];						
}																		
elseif(isset($_SESSION['pseudo']))											
{																			
$recuperation_pseudo=$_SESSION['pseudo'];									
$recuperation_mot_de_pass=$_SESSION['mot_de_pass'];						
}

Pour la session, je stauque l'ip dans base de donné pour la protéger.
Et pour le cookie, je peut pas faire cela car s'il revien dans 3 jours par exemple, son ip aura changé.

Pour cette partie là :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}

est'elle bien sécurisé ou est 'il possible de modifier la variable $b_niveau ?

Merci de votre aide.

19/06/2007, 08h47
Yoshio

A la rigueur t'a pas besoin de sécuriser plus que ça la session, les vol de sessions ne se font pas tous les jours ...

Par contre pour protéger des injections sql seule la derniere ligne est utile :

Code:

$recuperation_pseudo = mysql_real_escape_string($recuperation_pseudo);

htmlentities() ne sert absolument pas pour protéger des injections sql mais pour protéger l'affichage de données.

Et addslashes tu oublie, c'est mal.

Voila, j'ai sécurisé la session avec l'ip :
vous en penssez coi ?

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
 
<?php
session_start(); 
 
//--------------------------------------------------------------------------//
//--regarde si cookie ou session existe et créé les variable correspondante-//
//--------------------------------------------------------------------------//
 
if(isset($_COOKIE['pseudo']))											
{																		
$recuperation_pseudo=$_COOKIE['pseudo'];								
$recuperation_mot_de_pass=$_COOKIE['mot_de_pass'];
$ip="54124754125548745424874";						
}																		
elseif(isset($_SESSION['pseudo']))											
{																			
$recuperation_pseudo=$_SESSION['pseudo'];									
$recuperation_mot_de_pass=$_SESSION['mot_de_pass'];						
}																		
 
//--------------------------------------------------------------------------//
//   Verification du mot de pass et pseudo et créé la variable niveau		//
//--------------------------------------------------------------------------//
if(isset($recuperation_id) AND isset($recuperation_mot_de_pass))
{
	if($recuperation_pseudo!=NULL AND $recuperation_mot_de_pass!=NULL)
	{
	$recuperation_pseudo = mysql_real_escape_string($recuperation_pseudo);
	$recuperation_mot_de_pass = mysql_real_escape_string($recuperation_mot_de_pass);
	mysql_connect("localhost","root","");
	mysql_select_db("test");
	$retour=mysql_query("SELECT COUNT(*) AS nbre_personne FROM membres WHERE pseudo='$recuperation_pseudo'");
	$donnees=mysql_fetch_array($retour);
		if($donnees['nbre_personne']==1)
		{
		$retour=mysql_query("SELECT * FROM membres WHERE pseudo='$recuperation_pseudo'");
		$donnees=mysql_fetch_array($retour);
		$b_mot_de_pass=$donnees['mot_de_pass'];
		$b_ip=$donnees['ip'];
			if($b_ip==$recuperation_ip OR $ip=="54124754125548745424874")
			{
				if($b_mot_de_pass==$recuperation_mot_de_pass)
				{
				$b_niveau=$donnees['niveau'];
				$b_id=$donnees['id'];
				}
			}
		}
	mysql_close();
	}
}
else
{
$b_niveau="0";
}
 
 
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}
 
 
?>

Cette partie est t'elle bien sécurisé ?

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}

19/06/2007, 09h41
Wharenn

Citation:

Envoyé par Yoshio

A la rigueur t'a pas besoin de sécuriser plus que ça la session, les vol de sessions ne se font pas tous les jours ...

Oui le vol pur est dur est quand même pas très répandu, mais par contre ca peut arriver que quelqu'un transmette et divulgue sans savoir son sessid avec l'url (lors d'un c/c) et là sans suivi d'ip on l'a dans l'os à coup sur :mouarf:

Citation:

Envoyé par Wharenn

Oui le vol pur est dur est quand même pas très répandu, mais par contre ca peut arriver que quelqu'un transmette et divulgue sans savoir son sessid avec l'url (lors d'un c/c) et là sans suivi d'ip on l'a dans l'os à coup sur :mouarf:

En effet :aie:

Pour en revenir au vif du sujet, tu devrais tester les choses dans un ordre différent.
Par exemple comme ceci :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 if (isset() && isset()) { // tu récup l'ip $ip = realip(); // requete sql avec WHERE champ_ip = $ip if (si resultat avec la requete) { // Tu teste le login et le mot de passe en même temps if (ok) { // tu met le bon niveau et id de la db } else { $niveau = 0; } } else { $niveau = 0; } } else { $niveau = 0; }
Exemple de code pour realip()

Voila en espérant que ca va t'aider.

Voila, j'ai revu mon code comme tu ma dit.
j'avai oublier effectivement de récuperer l'ip.

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
 
<?php
session_start(); 
 
//--------------------------------------------------------------------------//
//--regarde si cookie ou session existe et créé les variable correspondante-//
//--------------------------------------------------------------------------//
 
if(isset($_COOKIE['pseudo']))											
{																		
$recuperation_pseudo=$_COOKIE['pseudo'];								
$recuperation_mot_de_pass=$_COOKIE['mot_de_pass'];
$ip="54124754125548745424874";						
}																		
elseif(isset($_SESSION['pseudo']))											
{																			
$recuperation_pseudo=$_SESSION['pseudo'];									
$recuperation_mot_de_pass=$_SESSION['mot_de_pass'];
$ip = realip();						
}																		
 
//--------------------------------------------------------------------------//
//   Verification du mot de pass et pseudo et créé la variable niveau		//
//--------------------------------------------------------------------------//
if(isset($recuperation_id) AND isset($recuperation_mot_de_pass))
{
	if($recuperation_pseudo!=NULL AND $recuperation_mot_de_pass!=NULL)
	{
	$recuperation_pseudo = mysql_real_escape_string($recuperation_pseudo);
	$recuperation_mot_de_pass = mysql_real_escape_string($recuperation_mot_de_pass);
	mysql_connect("localhost","root","");
	mysql_select_db("test");
	$retour=mysql_query("SELECT COUNT(*) AS nbre_personne FROM membres WHERE pseudo='$recuperation_pseudo'");
	$donnees=mysql_fetch_array($retour);
		if($donnees['nbre_personne']==1)
		{
		$retour=mysql_query("SELECT * FROM membres WHERE pseudo='$recuperation_pseudo'");
		$donnees=mysql_fetch_array($retour);
		$b_mot_de_pass=$donnees['mot_de_pass'];
		$b_ip=$donnees['ip'];
			if($ip==$b_ip OR $ip=="54124754125548745424874")
			{
				if($b_mot_de_pass==$recuperation_mot_de_pass)
				{
				$b_niveau=$donnees['niveau'];
				$b_id=$donnees['id'];
				}
				else
				{
				$b_niveau="0";
				}
			}
			else
			{
			$b_niveau="0";
			}
		}
		else
		{
		$b_niveau="0";
		}
	mysql_close();
	}
	else
	{
	$b_niveau="0";
	}
}
else
{
$b_niveau="0";
}
 
 
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}
 
 
?>

C'est bon comme sa ?

19/06/2007, 11h28
Yoshio

Tu ne récupère jamais le mot de passe.

Et tu peux ne faire qu'un seule requête sql.

Si je le récupère le mot de pass

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
 
if($donnees['nbre_personne']==1)
		{
		$retour=mysql_query("SELECT * FROM membres WHERE pseudo='$recuperation_pseudo'");
		$donnees=mysql_fetch_array($retour);
		$b_mot_de_pass=$donnees['mot_de_pass'];       <-------je le récupère ici
		$b_ip=$donnees['ip'];
			if($ip==$b_ip OR $ip=="54124754125548745424874")
			{
				if($b_mot_de_pass==$recuperation_mot_de_pass)  <-------et le vérifi ici
				{
				$b_niveau=$donnees['niveau'];
				$b_id=$donnees['id'];
				}

19/06/2007, 12h31
Yoshio
Ouais désolé, j'ai pas l'habitude de mettre des * dans mes requêtes sql. Ca récupère généralement 3/4 des champs inutiles de la tables.

Mais au lieu de tes 2 requêtes sql pourquoi n'en fais tu pas une du genre :
Code:

1 2 3 4 SELECT id, niveau FROM membres WHERE pseudo = $peuso AND password = $password;
Comme ça tu sait directement si l'utilisateur est présent et s'il a mis le bon mot de passe. Et ça évite une requête sql en trop.

Voila,
j'ai modifier le code.
Il est sécurisé la ?

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
 
<?php
session_start(); 
 
//--------------------------------------------------------------------------//
//--regarde si cookie ou session existe et créé les variable correspondante-//
//--------------------------------------------------------------------------//
 
if(isset($_COOKIE['pseudo']))											
{																		
$recuperation_pseudo=$_COOKIE['pseudo'];								
$recuperation_mot_de_pass=$_COOKIE['mot_de_pass'];
$ip="54124754125548745424874";						
}																		
elseif(isset($_SESSION['pseudo']))											
{																			
$recuperation_pseudo=$_SESSION['pseudo'];									
$recuperation_mot_de_pass=$_SESSION['mot_de_pass'];
$ip = realip();						
}																		
 
//--------------------------------------------------------------------------//
//   Verification du mot de pass et pseudo et créé la variable niveau		//
//--------------------------------------------------------------------------//
if(isset($recuperation_id) AND isset($recuperation_mot_de_pass))
{
	if($recuperation_pseudo!=NULL AND $recuperation_mot_de_pass!=NULL)
	{
	$recuperation_pseudo = mysql_real_escape_string($recuperation_pseudo);
	$recuperation_mot_de_pass = mysql_real_escape_string($recuperation_mot_de_pass);
	mysql_connect("localhost","root","");
	mysql_select_db("test");
	$retour=mysql_query("SELECT id, niveau, ip FROM membres WHERE pseudo='$recuperation_pseudo' AND mot_de_pass='$recuperation_mot_de_pass'");
	$donnees=mysql_fetch_array($retour);
	mysql_close();
		if($donnees!=NULL)
		{
		$b_ip=$donnees['ip'];
			if($ip==$b_ip OR $ip=="54124754125548745424874")
			{	
			$b_niveau=$donnees['niveau'];
			$b_id=$donnees['id'];
			}
			else
			{
			$b_niveau="0";
			}
		}
		else
		{
		$b_niveau="0";
		}
	}
	else
	{
	$b_niveau="0";
	}
}
else
{
$b_niveau="0";
}
 
 
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}
 
 
?>

19/06/2007, 14h09
Yoshio

Ouais ca devrait aller.

Je t'invite par contre à jeter un coup d'oeil à la fonction empty().

Merci bien.
Voia j'ai remplacé
if($donnees!=NULL)
par :
if (empty($donnees))

Cette partie là, est'elle bien sécurisé ?

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
 
//----------------------------------------------------------//
//  					droit d'acces						//
//---------------------------------------------------------//
if($b_niveau="0")
{
echo "on affiche la page normale";
}
elseif($b_niveau="1")
{
echo "on affiche la page membre";
}
elseif($b_niveau="5")
{
echo "on affiche la page administration";
}

19/06/2007, 14h25
Yoshio

C'est peut etre

Code:

if (!empty($donnees))

Euh ya rien a sécurisé c'est du bête code PHP.