Защита кода Php

[Виталий Желтяков]

- Двойные сессии надо блокировать при авторизации - если пользователь он-лайн, то авторизация запрещена.
- Клонов запрещать не надо, надо лишь за ними следить и убивать злобных нарушителей.
- IP блокировать можно фаерволом или через тот же .htaccess. Такие действия лучше делать вручную.
- Да, плохой человек может поменять ip, но если мы соблюдаем вышеперечисленные правила, то скорее всего он зае****ся в начале пути, а в некоторых случая (при правильной организации защиты) вообще ничего сделать не сможет.

[Shyt]

Виталий Желтяков, Я сегодня пробовал редактировать сессию и оказывается это крах, она так легко редактируется вообще ужас.
Против этого есть борьба.?.


У меня было построено всё на том что когда человек проходит авторизацию его ник сохраняется в сессию, и переходя из страницы на страницу сессия работала как идентификатором. А сегодня решив разрушить свои опасения и попробовать по редактировать сессию так оказалось я запросто могу менять пользователей (позорно в защите я ноль )

Большое спасибо за компанию..

[Виталий Желтяков]

Значит авторизацию сделали неправильно. Как Вы вообще редактировали сессию?

Лучше использовать следующую схему:
- При первой авторизации ставим куки пользователю: логин и хэшированный пароль по необратимому алгоритму + автоматически ставиться кук сессии.
- При первом подключении к странице должен происходить процесс инициализации во время, которого происходит проверка кук.
- Если при авторизации у пользователя проверяем куки с правильными паролями, то авторизуем, иначе рубим сессию и куки. Т.е. процесса авторизации как такового нет. Если куки плохие или их нет, то показываем страницу авторизации.

Если, что-то не понятно,то лучше приведите примеры своих скриптов.

[Shyt]

Как Вы вообще редактировали сессию?

Я точно не понял, а редактировал Сессию в блокноте, вот что написано в сессии все понятно и просто name|s:4:"Shyt"
Только я вроде маленько заработался (т.к программирования это не моя настоящая работа это просто для души ) и запамятовал что сессий хранятся не на компьютере а на сервере в определенной папке примерно Temp (временные файлы).

А по правде признаться Ваша авторизация жесть на врядтле в скором будущем я такое смогу написать (подскажи что полезно почитать что б найти хоть что то похожее и полезное подчеркнуть)

[Виталий Желтяков]

В простой авторизации нет ничего сложного. Смотрите приведенный выше алгоритм.

[Shyt]

Простую то я написал .

Виталий Желтяков, Написано что Сессии хранятся на сервере в папке temp и что она легко доступна всем и они предлагают сменить место хранения сессии от этого толк будет???

[Виталий Желтяков]

Она доступна всем кто имеет доступ к серверу. Это несколько другой уровень защиты.
Да, желательно поменять месторасположение каталога сессий на свой и установить свои правила доступа на этот каталог. Так как если сервер взломают, то взломщик может получить доступ к папке temp. Свои права доступа осложняют взломщику задачу.
Если у Вас нормальный хостинг с защитой, то особо об этом беспокоится не стоит.

[Shyt]

Виталий Желтяков, Спасибо большое..