database/website beter beveiligen
Mijn website is meerdere malen 'gehackt' en zou graag advies willen hebben,
hoe ik mijn website beter kan beveiligen.
Wachtwoorden heb ik laten opslaan in md5, maar ik kwam er ook achter dat er decrypters voor zijn.
Is er misschien een veiliger optie om wachtwoorden op te slaan in databases?
Ook heeft de 'hacker' meerdere accounts weten aan te maken, terwijl ik heb gemaakt, dat je maar 1 account per ip-adres kan maken.
Code (php)
1
2
3
4
5
6
7
8
2
3
4
5
6
7
8
<?php
mysql_query("SELECT * FROM members WHERE ip = '".$_SERVER[REMOTE_ADDR]."'");
$result = mysql_query("select * from members where ip='$_SERVER[REMOTE_ADDR]'") or die(mysql_error());
if ($row=mysql_fetch_array($result)) {
echo"<center><b>Je hebt al een account</b><br>Je kan dus niet nogmaals registreren.<br><Br>Ben je de gegevens verloren? Vraag ze dan opnieuw aan via de <a href='inloggen.php'>inlog pagina</a>.</center>";
}else{
//registratie form
?>
mysql_query("SELECT * FROM members WHERE ip = '".$_SERVER[REMOTE_ADDR]."'");
$result = mysql_query("select * from members where ip='$_SERVER[REMOTE_ADDR]'") or die(mysql_error());
if ($row=mysql_fetch_array($result)) {
echo"<center><b>Je hebt al een account</b><br>Je kan dus niet nogmaals registreren.<br><Br>Ben je de gegevens verloren? Vraag ze dan opnieuw aan via de <a href='inloggen.php'>inlog pagina</a>.</center>";
}else{
//registratie form
?>
zou het eventueel ook te maken kunnen hebben met mijn config.php?
Dat die pagina op één of andere manier toch te lezen is, om achter de database gegevens te kunnen komen?
En is er verder nog wat aan de 'hacker' te doen?
Ik vind het namelijk wel inbreuk op andermans eigendom.. (of ergens in die richting)
Het enige dat ik heb is:
- zijn ip-adres
- datum en tijd wanneer hij het heeft gedaan.
En als de hacker meerde accounts aangemaakt heeft, komen deze van hetzelfde IP?
Verder is md5 ook behoorlijk zwak, bcrypt is een sterker alternatief.
Wat is trouwens het probleem als iemand meerdere accounts aanmaakt?
Ozzie PHP op 21/10/2013 10:58:54:
Ip-adres zegt tegenwoordig niks meer. Een serieuze hacker zal via proxy's werken en niet met z'n eigen ip-adres. En via het mobiele netwerk heb je geen vast ip-adres. Je moet dan ook absoluut niet op ip-adres controleren. Heeft geen zin. Wat je zou kunnen doen is bijv. op e-mailadres kunnen controleren.
Wat is trouwens het probleem als iemand meerdere accounts aanmaakt?
Wat is trouwens het probleem als iemand meerdere accounts aanmaakt?
Bedankt voor de tip van dat controlen op email-adres. Betreft meerdere accounts, het gaat om een toplijst. ik wil dus hebben dan men via 1 account 1 of meerdere banners kan aanmaken voor zijn/haar websites.
- Aar - op 21/10/2013 10:52:01:
Het beste is om direct de logfiles na te zoeken om te kijken waar het lek zit.
En als de hacker meerde accounts aangemaakt heeft, komen deze van hetzelfde IP?
Verder is md5 ook behoorlijk zwak, bcrypt is een sterker alternatief.
En als de hacker meerde accounts aangemaakt heeft, komen deze van hetzelfde IP?
Verder is md5 ook behoorlijk zwak, bcrypt is een sterker alternatief.
Ja, hij/zij heeft meerdere accounts met hetzelfde ip-adres aangemaakt.
Verder denk ik dat de hacker toch gebruik heeft gemaakt van een proxy, aangezien zijn ip-adres uit Iran komt, terwijl mijn website volledig Nederlands is.
Gewijzigd op 21/10/2013 11:06:12 door Marco Eilander
We hebben beiden hetzelfde IP.
Gewijzigd op 21/10/2013 11:06:27 door - Ariën -
ik heb net ook even gezocht naar informatie over bcrypt, maar daar kom ik nog niet helemaal uit.
Dit vond ik :
http://stackoverflow.com/questions/4795385/how-do-you-use-bcrypt-for-hashing-passwords-in-php
Ik zie daar verschillende scripts.
Gewijzigd op 21/10/2013 11:21:51 door Marco Eilander
- Aar - op 21/10/2013 11:24:26:
Het ligt eraan welke PHPversie je gebruikt.
Bij directadmin zie ik staan : Php 5.3.27.
- Aar - op 21/10/2013 11:19:21:
Maar die generators gebruiken bestaande domeinen. Genoeg om te blacklisten.
Ja correct, je moet dan alleen wel regelmatig die generators in de gaten houden, want ik kan me voorstellen dat er maandelijks nieuwe bijkomen.