-1

所以基本上，几天前我的一个网站客户来找我，告诉我他们的数据库和网站已被黑客入侵（黑客以某种方式从数据库中窃取了 md5 哈希密码），登录管理面板并更改了数据。好吧，是的，我在 1 年半前创建了该页面，所以当时我不知道有什么更好的方法hash或盐。无论如何，他们如何破解数据库？基本上，是否有任何保护措施，或者他们是否使用任何类型的 JavaScript 代码，我不应该允许加载，或者还有什么？

希望你能帮助我解决这个问题，这样我就可以创建更多受保护的网站。

这是该站点以前的登录代码。根据请求添加 -

  public function loginUser($username, $password) {
    if(isset($_POST['login'])) {
      if($username != '' && $password != '') {
        $sql = "SELECT * FROM `users` WHERE `username` = '".$username."' AND `password` = '".$password."'";
        $q = mysql_query($sql);
        $row = mysql_fetch_array($q);
        if(mysql_num_rows($q) > 0) {
          if($row['level'] == 'admin') {
            $_SESSION['user_level'] = 'admin';
          }
          else {
            $_SESSION['user_level'] = 'normal';
          }
          $_SESSION['logged_in'] = 1;
          header('location: account.php');
        } 
        else {
          header('location: error2.php');
          // Return to page and show error
        }
      }
      else {
        header('location: error1.php');
        // Show error, when people have empty fields entered
      }
    }
4

2 回答 2

1

如果没有更多信息，不可能肯定地说，但最有可能的情况是您的应用程序容易受到SQL 注入的攻击，这使攻击者能够让网站显示数据库的内容。另一种可能性是目录遍历攻击允许他们直接下载数据库文件。

由于 MD5 现在完全被破坏了（无论你是否使用盐对 MD5 来说都不再重要），剩下的就很简单了。

于 2012-04-12T14:07:59.237 回答
0

您应该阅读有关 SQL 注入的信息（也许这就是他们在您的数据库中获取信息的方式）。

然后你应该看看XSS。

你要做的第一件事就是验证每一个输入，一切！

对于 SQLi，您应该使用准备好的语句。

针对 XSS，您应该对所有内容进行编码！

但是，嘿，不用担心，你可以用谷歌搜索所有这些！

于 2012-04-12T14:06:42.143 回答