Registration sicher?

**wahsaga** · 31.10.2006, 16:00

Re: Registration sicher?

Original geschrieben von MoJou
kann mir jemand ein paar tipps geben zu meinem registrationsformular?

Tipps bzgl. was?

Wenn es "sicher" sein soll, dann definiere bitte sicher in wie fern bzw. wo gegen.

Ich bin mir nicht sicher obs hier richtig ist, jedoch ist im Formular mit Ajax, sowie PHP gearbeitet worden.

Vermutlich dürfte PHP der passendere Bereich sein (*verschieb*), denn wenn mit den Daten etwas passiert, dann wohl auf dem Server.

**MoJou** · 31.10.2006, 16:07

naja also der Username soll keine Skripte enthalten können.

ich weiß nicht worauf man noch alles achten sollte wenn man einen User z.B für eine Community registriert.

ich Poste mal den teil des codes für die Überprüfung.

[code entfernt]

**wahsaga** · 31.10.2006, 16:11

Original geschrieben von MoJou
naja also der Username soll keine Skripte enthalten können.

Was für "Scripte"?

Javascript? PHP? SQL-Code?

Überlege dir, welcher an welcher Stelle wirksam werden könnte - und was dagegen zu tun ist.

ich Poste mal den teil des codes für die Überprüfung.

Bitte Regeln lesen, vor allem bgzl. Code umbrechen, und dann nochmal versuchen.

**MoJou** · 31.10.2006, 16:20

Es soll kein HTML oder JAVASKRIPT ausgeführt werden können, php wäre von seiten des users meines wissens nach eh nicht möglich.

ich hab das mit htmlspecialchars() gelöst, ich weiß aber nicht ob es dennoch Sicherheitslücken gibt.

**Hirnhamster** · 31.10.2006, 21:41

Warning: mail() [function.mail]: Failed to connect to mailserver at "localhost" port 25, verify your "SMTP" and "smtp_port" setting in php.ini or use ini_set() in C:\Programme\xampp\htdocs\AJAX\register.php on line 93
Um die Registration abzuschließen das übliche email Spiel...User angelegt, email versandt

google mal nach SQL-Injektion
wie läuft die Registrierung ab? INSERT INTO mysql-db?

**MoJou** · 31.10.2006, 21:48

ups ja liegt an meinem mail serv, hab den rechner neu gestartet mail server ist aus... jetzt müsstes wieder gehen...

joa ich machs über INSERT INTO das pass is natürlich md5 zerfleischt

**jahlives** · 31.10.2006, 21:53

joa ich machs über INSERT INTO das pass is natürlich md5 zerfleischt

Das pass interessiert nicht so sehr, da bei Anwendung von md5() keine für die DB gefährlichen Zeichen übrig bleiben werden

Interessanter wäre es zu wissen wie du Username und Email in die DB einträgst. Wendest du vor dem eintragen noch eine Fkt wie mysql_real_escape_string() auf die Daten an ?

Gruss

tobi

**MoJou** · 31.10.2006, 22:07

nja das einzige was ich mache ist

PHP-Code:


$username=htmlspecialchars($username, ENT_QUOTES);

ansonsten füge ich den user so in die tabelle ein via

PHP-Code:


$sql="INSERT INTO users SET UserName='".$username."', UserPass=MD5('".$userpass."'), UserMail='".$usermail."', 

ActivationCode='".$Aktivierungscode."'    "; // Befehl zum anlegen des Users

der von dir eingetragene wert (ich schätze er ist von dir) ist 'OR1=1'

was würde passieren wenns so aussehen würde wie du es eingegeben hast?

**jahlives** · 31.10.2006, 22:11

Also wenn ich dich richtig verstanden habe dann willst du dass keine html-Tags angegeben werden können ?
Dazu wäre dann

PHP-Code:


$username = mysql_real_escape_string(strip_tags($username));

imho eher angebracht. strip_tags() sorgt dafür dass keine html Tags mehr im String sind und mysql_real_escape_string() ist dafür zuständig keine für die DB gefährliche Zeichen unescaped im String zu lassen --> Stichwort mysql Injection
Grundsätzlich solltest du die zweite Fkt auf alle Daten anwenden die vom User kommen und in eine DB eingetragen werden sollen.

Gruss

tobi

**MoJou** · 31.10.2006, 22:17

aber das pw brauch damit ncht bearbeitet werden oder? ich schätze als md5 können diese sicher nicht viel anrichen (siehe edit im letzten Post)

**gruenspan** · 31.10.2006, 22:48

Original geschrieben von jahlives
Das pass interessiert nicht so sehr, da bei Anwendung von md5() keine für die DB gefährlichen Zeichen übrig bleiben werden

Solange md5() vor dem Eintrag in die DB anagewendet wird.

Registration sicher?