Door
Yoeri Achterbergen
op 21-03-2016 15:47
gewijzigd op 21-03-2016 15:49
3.981 views
Hallo,
Graag had ik wat advies om een dashboard login veilig te maken.
Het graat hierom een dashboard waarvoor je je niet kunt registreren, dus voor vaste mensen.
index:
<html>
<head>
<title>Dashboard</title>
<link rel="stylesheet" href="css/style.css"></link>
</head>
<body>
<form action="" method="POST">
<input type="text" class="logscreen_fields" name="user" id="user" placeholder="Gebruikersnaam"></input>
<input type="password" class="logscreen_fields" name="password" id="password" placeholder="Wachtwoord"></input>
</form>
</body>
</html>
<?php
session_start();
if($_SERVER['REQUEST_METHOD'] == 'POST'){
$user = $_POST['user'];
$password = $_POST['password'];
$users = array(
'Gebruikera' => 'wachtwoorda',
'Gebruikerb' => 'wachtwoordb',
'Gebruikerc' => 'wachtwoordc'
//enz.
);
if(isset($users[$user])){
if($password == $users[$user]){
$_SESSION['login-naam'] = $user;
$_SESSION['login'] = "success";
//en word doorgestuurd naar beveiligd epagina
}else{
echo 'Wachtwoord is onjuist bij deze gebruikersnaam';
}
}else{
echo 'deze gebruiker is niet bij ons bekend.';
}
}
?>
Aangezien er maar een beheerder is (ik zelf) dacht ik het zonder admin functies te doen, maar Ariën heeft mij wel iets van gedachte veranderd.
Natuurlijk moet het een simpele login blijven maar een admin account waarmee je snel en simpel gebruikers kunt wijzigen en/of aanmaken is natuurlijk wel handig mocht ik dit in de toekomst willen uitbreiden. Ik ben vandaag beetje bezig geweest en ben nu een xml file het genereren waar alle users instaan inclusief een password hash.
Ik kan de xml file dan met php herschrijven en als er ingelogd word php laten nakijken of de gegevens kloppen.
[quote="L deB op 21/03/2016 19:59:36"]
Ik mis filtering van de input... htmlspecialchars, trim etc...
Wat is het nut daarvan wanneer je alleen leest uit de database ?
Aangezien we geen verdere info hebben zou er, bij wijzigingen in de database, ook heel goed gebruik gemaakt kunnen worden van prepared statements.
[/quote]
Voor zover ik weet leest hij niet uit een database en zijn er wel meer mogelijkheden om een website te gebruiken in plaats van slechts sql injectie. Lijkt me bij een inlogsysteem dat je altijd input wil filteren, of je het nou haalt uit een bestand of de database. Maar goed als ik er helemaal naast zit en het geen nut heeft hoor ik het graag, serieus, dit is gewoon wat ik tot nu toe meen ervan begrepen te hebben.
