Domanda sicurezza

[keratox]

Se per dire io ho una mia pagina amminstrazione_sito.php
E all'interno ci metto un form tipo

<form action="amminstrazione_sito.php" method="post">
Password <input type="password" name="mypass" />

<input type="submit" name="getadmin" />
</form>

posso fare qualcosa del genere

<?php
if(isset($_POST['getadmin'])){
if($_POST['mypass']=="AnfDks34"){
session_register("admin");
}
}
?>

senza avere problemi di sicurezza ????
Cioe', come potrebbe fare, qualcuno, a prendere la password AnfDks34 ???

Ciao, grazie

[bonaprogram]

nessuno puo prendere la tua password se sta solo in un file php

[keratox]

e' quello che pensavo...
solo che...
mah...

vabbe' grazie
ciao

[mdsjack]

il problema è che possono intercettarla mentre va dal form allo script ma è un'ipotesi remota per una password amatoriale.

[keratox]

di fatto avevo intenzione di fare qualcosa di serio
come si puo' aggirare anche questa ipotesi ?

[drAlberT]

Originariamente inviato da bonaprogram
nessuno puo prendere la tua password se sta solo in un file php

la troppa sicurezza è nemica della sicurezza stessa :-)

SE e dico SE un qualsiasi script PHP nell'intera macchina (e non sito web, bada bene ma macchina - come su aruba insomma) fosse bucabile in qualche modo permettendo
- XSS (cross site scripting)
- RCX (remote command execution)
- SQLinjection (si, in linea teorica anche questo)
- etc ..

allora, poiché i files .php sono per forza di cose almeno leggibili da apache, diventa ovvio che l'utente apache (e quindi l'attacker) avrebbero facile accesso alla tua passwd !!!

[keratox]

Grazie per le risposte.
In definitiva...come gestisco la password di amministrazione in modo sicuro ???
In un database mysql crittografata con md5() (e' cosi'??) potrebbe andare ???

[bubu77]

anche se la metti in un file mettila dopo averla passata ad md5 quindi una cosa tipo

$password = "hjlshfkjyluhslhgckjsksghkjlhckjhsk";

e per confrontare fai
if(md5($_POST['mypass'])==$password){

almeno anche se uno ha accesso al file (temporaneamente spero) non ti fotte la password in chiaro

[keratox]

ok thanks

[bubu77]

poi sarebbe buona norma piazzare i file contenenti password fuori dalla web_root oppure al limite proteggerli con htaccess

questo perchè può capitare che il demone php vada a puttana e finche non viene risolto il problema i file php sono scaricabili VVoVe:

questo mi è successo su un vecchio server circa 3 anni fa , a tal proposito mi interesserebbe sapere se esiste un modo per configurare apache in modo da vietare l'accesso ai file php se il demone và a puttana