0

简而言之，我有一个测试服务器/网站，我在其中上传了一个名为“private”的文件夹，其中包含 PHP 脚本。程序流程如下：登录 -> 搜索项目编号 -> 显示项目图像 -> 注销或重新搜索。

未来物品页面会显示大量关于每个特定物品的数据库信息，但暂时只显示一张图片。测试网站的链接如下：

http://testserver574.hostei.com/private/login.html

我的主要问题是关于安全性和漏洞。login.html 页面有一个表单，该表单将信息发布到名为“ProcessLogin.php”的 php 脚本中，该脚本会将您重定向回使用错误凭据的登录页面。用户名和密码暂时被硬编码到该脚本中。

除了添加 SSL（安全套接字层）之外，这是否安全“足够”？当用户无法阅读 php 代码时，如何将用户名和密码硬编码到 ProcessLogin.php 中是不安全的？

如果您真的想尝试，用户名和密码并不难猜 :P 但即使它是真实的用户名和密码，如何才能通过入侵这样的登录来显示图像？

PS：用户名和密码相同，我只是想知道是否有人可以毫不费力地破解此登录名...

编辑：我的登录功能如下：

function login($userName, $URL) {
        session_regenerate_id(TRUE); //Security measure - create new sesion id
        $_SESSION['valid'] = 1;
        $_SESSION['userName'] = $userName;

        redirectPage($URL); //Redirect Page
    }

在 php.ini 中使用“===”验证用户名和密码后发生这种情况。

4

2 回答 2

0

重要的问题是登录后会发生什么。您是否设置了 cookie 来识别用户？那个饼干里有什么？伪造那个cookie有多容易？拦截那个 cookie 有多容易（提示：没有 SSL，很容易）？打开任何受保护的页面是否需要有效的 cookie？或者，如果我知道 URL 并且根本没有检查，我可以直接转到您的“受保护”页面之一吗？在这些受保护的页面上检查 cookie 的方式是否存在任何缺陷，可能允许我绕过检查？等等……等等……

于 2012-07-02T08:41:17.690 回答
0

作为安全性，它将保护什么与您所保护的内容有关。IE 考虑我将列表与我最喜欢的运动队放在一起并将其粘贴在互联网上并在登录屏幕后面使用编辑表单的情况 ssl 是否足以保护这些数据？可能是因为这些信息对其他人来说毫无意义。但是，如果它是我的银行帐户详细信息的列表，我可能想要更进一步，并进行更多检查，例如查看实施一次性密码，例如 yubikey http://www.yubico.com/yubikey查看服务器配置以加强托管站点的服务器的安全性，并可能在登录表单上查看一些更复杂的加密/解密。因此，如果这些图像是您遛狗或其他类似的图像，那么您在表格上放置的安全性很可能是足够的。但是，如果它们是设计计划或对您/您的公司更重要/至关重要的东西，您可能希望考虑实施其他一些安全程序。

于 2012-07-02T08:50:01.347 回答