MyCity » Web programiranje -> PHP » Slanje konstante preko post metode

Slanje konstante preko post metode

Napisano na dan: 28.2.2008
3

Slanje konstante preko post metode
Pagination Prethodna strana
Sledeća strana Pagination

Idi na vrh

Poslao: 01 Mar 2008 00:43
Idi na vrh
offline
  • Pridružio: 24 Mar 2004
  • Poruke: 3962
  • Gde živiš: Zemun

isprobao sam ja i jedno i drugo i nema razlike Smile
Ta konstanta mi ne treba, jos bi bilo pozeljno da vazi samo jedno slanje....
jer rupa i dalje postoji, ako neko uradi back i ako ode na stranicu koja uopste nema sesiju i posalje istoj formi koja zahteva sesiju forma ce to prihvatiti ! ! !
in1.php
<?php session_start(); $_SESSION['kljuc'] = 321; ?> <form metod="post" action="uni.php"> <input type="submit" value="salji"> </form>
in2.php
<form metod="post" action="uni.php"> <input type="submit" value="salji"> </form>
uni.php
<? session_start(); $httprefi = getenv("HTTP_REFERER"); if(isset($_SESSION['kljuc'])) {    $poruka = $_SESSION['kljuc'];    unset($_SESSION['kljuc']);    //session_destroy();    $meta ='<META HTTP-EQUIV="refresh" CONTENT="5; URL='. $httprefi .'" >'; } else {    $poruka = "Greska, nema sesije";    $meta ='<META HTTP-EQUIV="refresh" CONTENT="5; URL='. $httprefi .'" >'; } ?> <html> <head> <?=$meta ?> </head> <body> <?=$poruka ?> </body> </html>
dakle otvaram in1.php i saljem kako posaljem dobijam da je sesija 321 rabim back pre redirecta umesto in1.php pisem in2.php u adres baru saljem i dobijam odgovor 321 iako sesija na in2.php stranici ne postoji, a prethodno pokretanje je trebalo da unisti sesiju ! ! !

sta sad ?



Registruj se da bi učestvovao u diskusiji. Registrovanim korisnicima se NE prikazuju reklame unutar poruka.
Poslao: 01 Mar 2008 13:28
Idi na vrh
offline
  • Pridružio: 11 Maj 2005
  • Poruke: 871
  • Gde živiš: Aleksinac - Niš

Pa zasto na stranici 2 ne stavis neki drugi kljuc?
in2.php
<?php session_start(); $_SESSION['kljuc'] = 543; ?> <form metod="post" action="uni.php"> <input type="submit" value="salji"> </form>

Dopuna: 01 Mar 2008 13:28

Sad vidim sta si mislio... kako god okrenes sistem se moze zavarati.



Poslao: 01 Mar 2008 13:35
Idi na vrh
offline
  • PHP developer
  • Pridružio: 22 Mar 2006
  • Poruke: 3760
  • Gde živiš: 127.0.0.1

in2.php

<?php if (isset($_SESSION['kljuc'])) { unset($_SESSION['kljuc']); } ?> <form metod="post" action="uni.php"> <input type="submit" value="salji"> </form>

i malo objasnjenje... kad otvoris in1.php, on ti setuje sesiju. Kad predjes na uni.php, sesija se brise (unset), ali ako pritisnes back, onda se vracas na in1.php koji opet namesta sesiju - pa ti je zato aktivna Smile

Poslao: 01 Mar 2008 16:06
Idi na vrh
offline
  • Pridružio: 24 Mar 2004
  • Poruke: 3962
  • Gde živiš: Zemun

@stankovic
Smile e to sam mislio Smile
@Rastafarii
pa nisam znao da se setuje i kada uradim back... to mi je bas glupo Smile

onda moram na svakoj inX.php stranici da ispitujem sesiju... ja sam naveo samo taj problem, a to moze da se uradi i sa svih 10-15 stranica Smile
i mislim da si zaboravio start_session();

kako ce sve stranice imati svoju sesiju ne moram da radim unset na njima, jer cu staru vrednost pregaziti sa novom Smile
dakle da uradim back i predjem na drugu stranu ta strana ima svoju sesiju i poslace pravi parametar tako da je ovo mozda i kraj mojim mukama... Smile

Poslao: 01 Mar 2008 16:34
Idi na vrh
offline
  • PHP developer
  • Pridružio: 22 Mar 2006
  • Poruke: 3760
  • Gde živiš: 127.0.0.1

Svemirko ::i mislim da si zaboravio start_session() Smile

E sad, ocekujes da u cik zore mislim na bas sve detalje Smile naravno da treba session_start();

Ako imas podesavanja sesija na stranici, ona se primenjuju svaki put kada je otvoris, makar i sa back Smile lepo podesi sesiju na svakoj stranici i amin Smile

Poslao: 01 Mar 2008 16:53
Idi na vrh
offline
  • Pridružio: 24 Mar 2004
  • Poruke: 3962
  • Gde živiš: Zemun

jes vala Smile

nego trebalo bi da i sad neko moze da pozove uni.php sa drugog sajta, samo sto sada je zastita veca jer ne vidi prko source sesiju kao input tag ?
Jel ovde lezala sigurnost izmedju ta dva nacina ? Smile ja tako zakljucio jer jedina razlika je sto se ovo vidi a ovo ne... a i jedno i drugo moze da se pokrene sa drugog sajta Smile

Poslao: 01 Mar 2008 17:31
Idi na vrh
offline
  • PHP developer
  • Pridružio: 22 Mar 2006
  • Poruke: 3760
  • Gde živiš: 127.0.0.1

Sesija moze da se setuje i na drugom domenu, jedino sto treba da "nabode" naziv sesije i njenu vrednost Smile a onako je bilo "na izvol'te" u kodu Smile

mada mozes, sigurnosti radi, da dodas i ovaj deo koda:

if (!empty($httprefi) { $exploded = explode("/",$httprefi); if ($exploded[2] != "www.tvojsajt.com" and $exploded[2] != "tvojsajt.com") { die('Nece moci ove noci!'); } }

koji ce da proverava da li je prethodna stranica sa tvog domena, mada se desava da, u zavisnosti od podesavanja, browser ne posalje referer...

Poslao: 02 Mar 2008 00:13
Idi na vrh
offline
  • Pridružio: 11 Maj 2005
  • Poruke: 871
  • Gde živiš: Aleksinac - Niš

@rastafarii
Ni to ne pomaze... moze lako da se lazira referer.

Poslao: 02 Mar 2008 00:24
Idi na vrh
offline
  • PHP developer
  • Pridružio: 22 Mar 2006
  • Poruke: 3760
  • Gde živiš: 127.0.0.1

@stankovic: to stoji, samo tom logikom nijedan vid zastite mu ne zavrsava posao, jer svaki od njih moze da se "hakne"...

Ono sto ja predlazem je da kombinacijom vise metoda koje je moguce "lazirati" dobije resenje koje je otpornije na upade spolja nego svaka metoda pojedinacno Smile moze i da doda md5() ili sha1() hash stranice na kojoj se nalazi forma (recimo md5(date("dmy") . "in1.php"); ili vec tako nesto) u jednu od session promenljivih...

Sve se odvija na serverskoj strani, i ukoliko nema pojedinacne echo-e za svaku gresku vec jedan globalni, osoba kojoj je cilj da njegovu zastitu "sredi" ili nece znati sta sve treba da lazira, ili ce izgubiti dosta vremena na brute force attack Smile

Poslao: 02 Mar 2008 00:56
Idi na vrh
offline
  • Pridružio: 11 Maj 2005
  • Poruke: 871
  • Gde živiš: Aleksinac - Niš

Glavno pitanje je da li mu je ovolika zastita zaista potrebna? Koliko ce vremena provesti praviti sve ovo i da li vredi?
Ja bih ako to nije toliko bitno ostavio ovako prosto sa session.
Ako je bas potrebno onda koristi kombinaciju svega i svacega Smile

MyCity » Web programiranje -> PHP » Slanje konstante preko post metode

Ko je trenutno na forumu
 

Ukupno su 756 korisnika na forumu :: 48 registrovanih, 6 sakrivenih i 702 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 20624 - dana 04 Apr 2026 04:18

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: 16.mabr, advokat84, BB, bigvlada, Bubimir, bukefal, celeron, Cirkon, darkojbn, Denaya, dj.ape, djonsule, DM1994, draganca, Draganeli, dule10savic, glados, Goxy1, Jan, Kalu128338, keyz, kihot, king011, KizJ, Laluvr, Limeni91, madza, Medojed, metallac777, milenko crazy north, milos.cbr, miodrag, Mrav Obrad, Novakomp, panzerwaffe, Pero, pfc74, samsung, Shadow soldier, Sharpshooter, shlauf, sslay, Tribal, Tvrtko I, veljkovicdani, VJ, vlajkox, vzd1389