PHPhulp.nl
35k+ leden Over PHPhulp Offerte opdracht Contact
t

Ban werkt niet!

Door test test op 12-08-2008 18:43
2.031 views
Op m'n site heb ik een inlog systeem. Wanneer ik iemand verban werkt het normaal gesproken wel! die gene wordt meteen naar de "verbannen pagina" doorgestuurd! Maar nu is er één persoon die er nog steeds in kan!

Het werkt ongeveer zo:
In database staat bij de gegevens van de persoon het aantal "waarschuwingen" als dat 2 is wordt de persoon verbannen!
Dus wanneer je inglogd wordt er in de database gekeken of de persoon in database meer of minder dan 2 waarschuwingen heeft! En op elke pagina wordt weer opnieuw gekeken of de persoon niet meer dan 2 waarschuwingen heeft.

Nu wou ik graag weten hoe het kan dat de persoon nog kan inloggen! En wat ik daar tegen kan doen?

?
Onbekende gebruiker
15-08-2008 16:08
Westerv schreef op 15.08.2008 16:03
Bij elke pagina wordt eerst config.php geincluded.
(Alle paginas zitten toch achter index.php?pag= dus wordt het 2x gecontroleerd)

<?php
session_start();
ob_start();
include_once("config.php");
?>

In config.php wordt global.php geincluded.

Dit staat in global.php:
<?php
if ($_COOKIE['gebruikersnaam'] != "" AND $_COOKIE['loggedid'] != ""){
$select = "SELECT * FROM members WHERE gebruikersnaam='" . $_COOKIE['gebruikersnaam'] . "' AND activatie='ja'";
$query = mysql_query($select);
$list = mysql_fetch_object($query);

if ($list->status == "Verbannen" || $list->strafpunten >= "2"){
echo
// dan tekst dat persoon er niet meer in kan //
;
exit();
}
?>


Dit:

is ob. Ob_* hoef je eigenlijk nergens op een website te gebruiken (uitzonderingen daargelaten).
Verder wil je alles weten van die gebruiker? Nee, slecteer dan alleen die kolommen.
Gewoon een nieuwe gebruiker aanmaken en je bent om je beveiliging heen.
Verder ben ik tegen ipbans.
Voor de rest wat die gast boven mij zegt.
t
test test
15-08-2008 16:10
Dankje:)
Dan zou ik nog graag even weten hoe het dan kan wanneer ik mezelf bijv. 2 "strafpunten" geef, Dat ik wel gewoon verbannen word?
B
Barman V
15-08-2008 16:11
----------------------------
Dit:
[ob image]
is ob. Ob_* hoef je eigenlijk nergens op een website te gebruiken (uitzonderingen daargelaten).
Verder wil je alles weten van die gebruiker? Nee, slecteer dan alleen die kolommen.
Gewoon een nieuwe gebruiker aanmaken en je bent om je beveiliging heen.
Verder ben ik tegen ipbans.
Voor de rest wat die gast boven mij zegt.
--------------------------

Hahahaha
B
Barman V
15-08-2008 16:12
Westerv schreef op 15.08.2008 16:10
Dankje:)
Dan zou ik nog graag even weten hoe het dan kan wanneer ik mezelf bijv. 2 "strafpunten" geef, Dat ik wel gewoon verbannen word?


Dan heb je waarschijnlijk de status op "Verbannen" staan.
?
Onbekende gebruiker
15-08-2008 16:14
Westerv schreef op 15.08.2008 16:10
Dankje:)
Dan zou ik nog graag even weten hoe het dan kan wanneer ik mezelf bijv. 2 "strafpunten" geef, Dat ik wel gewoon verbannen word?

Mjah, zal wel aan je sql injections liggen. Dan kan je zelf effe je gegevens aanpassen :-) (ban weg, geen id of het een spel is, maar als dat het is, even aantal levels omhoog + resources).
t
test test
15-08-2008 16:17
Nee dat stond er niet,,
raar maar als 't zo werkt ben ik tevreden:)
En zo veel leden zijn er niet;) Is nog wel bij te houden. Dan moet die gene ook heel veel mail adressen aanmaken!
Maar Bedankt!
?
Onbekende gebruiker
15-08-2008 16:19
Zoek eens op [google]sql injections[/google]
B
Barman V
15-08-2008 16:23
Tis toch niet helemaal waar wat ik zei met rekenen en strings (of hangt dit af van je configuratie?).
Zie:

<?php
echo var_dump(0 >= "2"); // false
echo var_dump(1 >= "2"); // false
echo var_dump(2 >= "2"); // true
echo var_dump(3 >= "2"); // true
?>

Maar gezien jouw script is het niet moeilijk om het te omzeilen. Met gemak kan ik me voordoen als een andere gebruiker en sql injection is ook eenvoudig uit te voeren.

Reageren

Inloggen om te reageren