Und, gibts schon das perfekte Login-Script?
Folgendes Script wird am Anfang jeder zu sichernden Datei eingefügt:
PHP-Code:
session_start();
// Fingerprint erstellen
$user_agent_auth_key = md5($_SERVER['HTTP_USER_AGENT'].$_SERVER['PATH']);
// Sicherheitsabfragen
if ($_SESSION[s_id] != session_id() || $_SESSION[user] != md5("user") || $_SESSION[pwd] != md5("passwort") || $_SESSION[USER_AGENT_AUTH_KEY] != $user_agent_auth_key) {
// Zur Login-Seite und Script beenden
session_destroy();
header("Location: http://...");
exit;
}
Die Session-Daten s_id, user, pwd und USER_AGENT_AUTH_KEY werden auf der Login-Seite zugewiesen.
Ist dieses "Sicherheitsskript" auf diese Art und Weise ausreichend sicher (mal abgesehen vom User und seinem Passwort
) ?
Es müssen hier ja alle 4 Voraussetzungen erfüllt sein, damit es überhaupt weitergeht. Das müsste doch eigentlich reichen...
Oder habe ich einen Denkfehler drin?
Im Login-Script übergebe ich die Daten mit get
_magic_quotes_gpc() ? stripslashes($_POST[user]) : $_POST[user]; das dürfte doch genug Sicherheit bieten oder (auch bei SQL-Abfrage)?
