[Sécurité] Probleme securite

Version imprimable

20/01/2006, 11h29
FredKéKé

[Sécurité] Probleme securite

Bonjour :D
voici mon probleme:
je dois controller l'acces a certains services de mon site web. malheureusement je ne peux pas inserer de code php dans ces services, je dois donc effectuer tout ca depuis ' l'exterieur '..
voici un petit schema pour expliquer ma situation:

http://img10.imageshack.us/img10/7425/problem8jr.png

l'utilisateur demande un service, sans le savoir, il passe par un ficher 'pont' qui controle ses autorizations, si il peut y acceder il sera redirige' automatiquement vers le service demande', sinon sera redirige' a' l'index du site.. si il essaie d'y acceder en inserant dans le browser l'url du service (en rouge), il faudrait qu'il se retrouve une page erreur ou a' l'index du site.
voyez vous une possible solution?? je suis en panne d'idee :ouin:
merci
Fred
20/01/2006, 11h33
jeff_!

salut

Citation:

l passe par un ficher 'pont' qui controle ses autorizations, si il peut y acceder il sera redirige' automatiquement vers le service demande', sinon sera redirige' a' l'index du site.. si il essaie d'y acceder en inserant dans le browser l'url du service (en rouge), il faudrait qu'il se retrouve une page erreur ou a' l'index du site.

je pense que tu a aporté ta solution non :?:
20/01/2006, 11h35
FredKéKé

non, une fois que tu accede le service, tu peux copier l'url.. tu pourra ensuite le reutiliser autant de fois que tu peux en 'courtcircuitant' le pont (en rouge)

par exemple l'url du service est

http:// service1.vupop.sk

si tu insere ca dans ton browser, tu sera automatiquement dirige' vers ce service sans passer par le fichier qui controle si tu peux y acceder ou pas.. et vu que je peux pas modifier ces services.. je dois trouver un moyen pour eviter qu'on puisse y acceder directement.
20/01/2006, 11h38
jeff_!

d'accord
donc en fait ton mecanisme de controle tu peut utiliser les sessions
ou tu controle si la personne et bien passer par ton "pont rouge" avec un flag
20/01/2006, 11h40
FredKéKé

et comment? je peux pas insérer de script php dans ces fichiers vu que ce sont des .htm.. ils sont générés automatiquement par un prog (arc ims)

voici le code d´un de ces services:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
 
<META HTTP-EQUIV="Pragma" CONTENT="no-cache">
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1">
<HTML>
<HEAD>
	<SCRIPT LANGUAGE="JavaScript" SRC="javascript/aimsResource.js" TYPE="text/javascript"></SCRIPT>
	<SCRIPT TYPE="text/javascript" LANGUAGE="JavaScript">	
 
		// Designer will set the next variable - theTitle
		var theTitle = "ArcIMS Viewer";
		if (theTitle.indexOf("###TITLE##")!=-1) theTitle = titleList[0];
		var cmdString = document.location.search;
 
		var webParams = cmdString;
		var reloadTimer=0;
		var browser = navigator.appName;
		//var moreStuff = "";
		var moreStuff = 'onresize="reloadApp()"';
		var addNS = 0;
		if (browser=="Netscape") {
			//moreStuff = 'onresize="reloadApp()"';
			addNS = 3;
		}
 
		var formURL = "jsForm.htm";
		var connectorType = "Servlet"; //Types are "Servlet" or "JSP"
		if (connectorType=="JSP") formURL = "jspForm.jsp";
 
		document.writeln("<TITLE>" + theTitle + "</TITLE>");
 
		function doIt() {
			MapFrame.useJava=false;
			MapFrame.checkParams();
		}
		function replacePlus(inText) {
		     var re = /\+/g;
		      inText = inText.replace(re," ");
		     return inText;
		}
 
		function reloadApp() {
				//document.location = "default.htm";
				window.clearTimeout(reloadTimer);
				reloadTimer = window.setTimeout("document.location = 'viewer.php' + cmdString",1000);
		}	
 
 
 
	document.writeln('</HEAD>');
	document.writeln('<FRAMESET ROWS="' + (30+addNS) + ',*,30,0" FRAMEBORDER="No" FRAMESPACING="0" onload="doIt()" BORDER=0 ' + moreStuff + '>');
	document.writeln('	<FRAME NAME="TopFrame" SRC="top.htm" MARGINWIDTH="5" MARGINHEIGHT="0" SCROLLING="No" FRAMEBORDER="0" NORESIZE>');
	document.writeln('	<FRAMESET COLS="' + (50+addNS) + ',*,180" FRAMEBORDER="No" FRAMESPACING="0" BORDER=0>');
	document.writeln('		<FRAME NAME="ToolFrame" SRC="blank.htm" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="No" FRAMEBORDER="0" NORESIZE FRAMESPACING="0" BORDER="0">');
	document.writeln('		<FRAMESET ROWS="*,110">	');
	document.writeln('			<FRAME NAME="MapFrame" SRC="MapFrame.htm" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="No" FRAMEBORDER="Yes" RESIZE="YES">');
	document.writeln('			<FRAME NAME="TextFrame" SRC="text.htm" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="Auto" FRAMEBORDER="Yes" RESIZE="YES">');
	document.writeln('		</FRAMESET> ');
	document.writeln('		<FRAME NAME="TOCFrame" SRC="TOCFrame.htm" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="Auto" FRAMEBORDER="Yes" RESIZE="YES">');
	document.writeln('	</FRAMESET>');
	document.writeln('	<FRAMESET COLS="180,*" FRAMEBORDER="0" BORDER=0 FRAMESPACING="0">');
	document.writeln('		<FRAME NAME="ModeFrame" SRC="bottom.htm" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="No" FRAMEBORDER="No" NORESIZE>');		
	document.writeln('		<FRAME NAME="BottomFrame" SRC="bottom.htm" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="No" FRAMEBORDER="No" NORESIZE>');
	document.writeln('	</FRAMESET>');
	document.writeln('	<FRAME NAME="PostFrame" SRC="' + formURL + '" MARGINWIDTH="0" MARGINHEIGHT="0" SCROLLING="No" FRAMEBORDER="0" NORESIZE FRAMESPACING="0" BORDER="0">');
	document.writeln('</FRAMESET>');
</SCRIPT>
 
<NOFRAMES>
<BODY>
<P>
</BODY>
</NOFRAMES>
</HTML>

je peux p-e insérer un javascript?

20/01/2006, 11h49
jeff_!

tu creer un script php qui controle l'acces de tes utilisateurs
le truc c'set que l'utilisateur doit toi=ujours passer par ce scrript
par exemple tu cree ton script dans ta page index.php(celle qui va controller les acces)
suivant la reponse de ton script php tu renvoi sur le bon service(utilisation de include )
20/01/2006, 12h11
FredKéKé

ca c´est deja fait.. mais si l´utilisateur connait l´url de ces services, il peut y accéder directement vu que dedans ces services je ne peux pas controller l´autorization
20/01/2006, 12h13
jeff_!

tu met un htaccess avec deny from all
20/01/2006, 12h17
FredKéKé

je connais tres peu ces htaccess.. une fois que j´autorize une personne a´accéder un service il faut que je modifie ce fichier?
20/01/2006, 12h21
Mr N.

Si j'ai bien compris l'astuce de jeff, en fait c'est ton pont qui va fournir le contenu html du service demandé, et pas le service lui même... Comme un proxy... Seulement les services en question produisent un code m****ique et je sais pas si ca sera vraiment possible :roll:
20/01/2006, 12h28
FredKéKé

alors, l´utilisateur veut consulter un service, le site l´envoi sur le fichier pont qui regarde si l´utilisateur peut y accéder (tout ca c´est déja fait). si oui alors il le renvoie vers le fichier viewer.htm (qui a son tour appel plein d´autres fichiers créés par le programme arcims), si l´utilisateur n´a pas le droit il le renvoie á l´index du site. en faite le pont est juste un fichier ´controlleur´..

le code de ces services ne m´interesse aucunement, je veux juste protéger ces fichiers á l´acces direct.
20/01/2006, 12h58
FredKéKé

jeff_! j´ai juste besoin d´une confirmation.. je me suis informé sur ces htaccess.. en faite mon fichier .htpass sera modifié par le pont, quand il voit qu´un utilisateur peut accéder au service, il modifie ce fichier .htpass en insérant les coordonnés de l´utilisateur et ensuite le redirigera vers mon dossier protégé par le fichier .htaccess, celui-ci ira regarder dans le fichier .htpass si l´utilisateur a le droite de voir le contenu du dossier dans lequel se situe le service..

si un utilisateur qui n´a pas le droit essaie de consulter un service le fichier .htaccess ira controller si il trouve qq chose dans le .htpass mais vu que le pont n´aura rien inséré il lui refusera l´acces.

c´est correct? si oui je me met au boulot!
20/01/2006, 13h03
jeff_!

oui
mon idée etat de faire le maximun en php et utiliser le htaccess juste pour eviter que l'on accede a tes fichiers par l'url
mais tu peut tres bien le faire seulement avec htacces

tout depend du niveau de fonctionnalité
20/01/2006, 13h11
FredKéKé

ok merci mes doigts vont bruler :twisted:

si qq´un a une autre idée je suis ouvert á toute proposition (meme indécente :wink: )

je cliquerais sur résolu si ca marche
a+
23/01/2006, 13h07
FredKéKé

:(

je viens de m'apercevoir qu'ici au boulot ils utilisent IIS avec Frontpage extension (oui je sais caca), et les .htaccess ne sont pas compatibles avec ce webserveur.. quelqu'un a d'autres propositions?