Отправляет email-рассылки с помощью сервиса Sendsay

Программирование. Форум !!!

Подписаться Бесплатный дискуссионный лист Подписчиков 308
←   Май 2004   →
 1
 2
 3
 4
04.05.2004
13:50:29
19:05:00
 5
 6
 7
 8
 9
10
11
11.05.2004
03:45:55
20:11:33
12
13
14
15
16
17
18
19
19.05.2004
06:23:09
22:02:26
20
21
21.05.2004
10:37:37
20:32:15
22
23
24
24.05.2004
12:46:15
22:01:04
25
26
27
28
29
30
31


За последние 60 дней ни разу не выходила


Сайт листа: http://codeguru.ru
Открыт: 21-09-2003
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.prog.prog-list@subscribe.ru
Адрес модератора: comp.soft.prog.prog-owner@subscribe.ru

Модератор
3V

Статистика

308 подписчиков
0 за неделю

php and .htaccess

Здравствуйте!
На ваш взгляд, стоит ли делать скрипт для добавления новостей,
безопастно ли это?
То есть на сайт могут добавлять новости 3 человека, хочется как-то
улучшить этот процесс, сделать его более удобным.
Думаю хранить информацию(логин и пароль) о зарегестрированных пользователях которые
могут добавлять новости в отдельном файле, а уж при добавлении
новостей сравнивать переданные логин и пароль с теми что в файле.
Вообще, безопастно ли хранить разные логины/пароли в файлах?
Может ли кто-нибудь увидеть исходные коды моего PHP скрипта?

Расскажите пожалуйста про файлик .htaccess. Для чего он
используется(смутно представляю, но хочется узнать по-больше), какова
его структура?
Извините за возможно глупые вопросы, но я только начал изучать
PHP.

Ответить  
keel
Thu, 13 May 2004 20:59:12 +0300 (#144525)

 

Ответы:

Дарова, keel.

Winamp играет: <Ария - Вампир>
13 мая 2004 г. в 21:59:12 вы сумели набить нижеследующее:

которые

Лучше сравнивай переданные логин и md5 хэш переданного пароля. При
таком раскладе уровень безопастности будет во много раз выше. Если
взломщик узнает сохраненный пароль, то... А если он узнает md5 хэш
пароля, то в случае если пароль будет символов 9-10, ну или 8, но
содержать буквы разных регистров, или одну-две цифры (к примеру:
C00lmanX), то уже на простой тачке (PIV:2400, 512 RAM) его брутфорс
займет мно-о-о-о-ого времени, и скорей всего на брут забьют. Хотя если
у взломщика есть локалка, тачек 100 хотя б селеронов на 1500МГц и 128
ОЗУ, то вот тогда... Но такое крайне маловероятно.

Логин.пароль - нет. Логин/md5 хэш пароля - вполне

Если получат FTP доступ к сайту, либо тебе коника подкинут.

Т.е. тебе передают логин/пароль, а ты шифруешь пароль алгоритмом md5,
и сравниваеш логин + md5 хэш пароля преданного с логином и md5 хэшем
хранящимися в файле.

Ответить   Inch≥ Sat, 15 May 2004 03:58:23 +0400 (#145618)

 

Здравствуйте Inch,

Saturday, May 15, 2004, 2:58:23 AM, вы писали:

Тогда где хранить md5 хэш пароля? В самом скрипте?
Где вообще можно доступно почитать про md5 шифрование?
Вы говорите, что хранить логин/md5 хэш пароля в файле небезопастно, а
хранить логин/пароль в файле безопастнее, то не лучше все-таки будет
хранить просто логин/пароль в файле, а на файл поставить запрет на
доступ с помощью .htaccess??

Ответить  
keel
Tue, 18 May 2004 15:25:23 +0300 (#147994)

 

Здравствуйте !

Можно в отдельном файле - ведь, как я понимаю,
пользователей много будет ? Или в БД.

Доки по PHP (ссылка была). Функции Mhash.
Библиотека Mhash доступна здесь : http://mhash.sourceforge.net/

Если хостинг нормальный (с правами доступа все в порядке), то
можно просто логин/пароль в файле, с запретом .htaccess.

--
С уважением, Вахтуров Виктор.
Информационный сайт для программистов http://SoftMaker.com.ru
Номер выпуска : 3086
Возраст листа : 239 (дней)
Количество подписчиков : 399
Адрес в архиве : http://subscribe.ru/archive/comp.soft.prog.prog/msg/148294
Получить правила : mailto:comp.soft.prog.prog-rules@subscribe.ru
Формат "дайджест" : mailto:comp.soft.prog.prog-digest@subscribe.ru
Формат "каждое письмо" : mailto:comp.soft.prog.prog-normal@subscribe.ru
Формат "читать с веба" : mailto:comp.soft.prog.prog-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:comp.soft.prog.prog-list@subscribe.ru
Отписаться: mailto:comp.soft.prog.prog--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить  
"Victor V. Vakchturov"
Tue, 18 May 2004 22:39:32 +0400 (#148294)

 

Здравствуйте Victor,

Tuesday, May 18, 2004, 9:39:32 PM, вы писали:

То есть лучше тогда хранить логин и пароль в отдельном файле,
предварительно выставив запреь на этот файл в .htaccess?
PHP скрипт ведь сможет обращаться к этому файлу?
И все-таки, где безопастнее хранить логин и пароль - в файле с
запретом .htaccess или же в БД MySQL?

Ответить  
keel
Thu, 20 May 2004 16:05:17 +0300 (#150052)

 

Добрый день, KeeL!

В файле. Изначально туда пишется логин и md5 пароля, когда заводится юзер. Потом,
когда юзер пытается зайти, в файле ищется логин и сравнивается хеш из файла и
закодированный в md5 присланный пароль. Если совпадают - юзер валидный.

Система предельно простая: если md5-хеши двух паролей совпадают, значит, и сами
пароли совпадают.
http://www.php.net/manual/en/function.md5.php - там есть ссылки

Со мной мои провайдеры однажды шутку пошутили - отключили исполнение пхп-скриптов
и поддержку .htaccess. Получилось, что файлы с паролями стали доступны, а в скриптах
можно было посмотреть, как этот файл назывался. Поэтому почти на всех хостингах
скрипты располагаются не в домашней папке, а во вложенной public_html. Соответственно,
рекомендуют скрипты ложить в public_html, а в них уже подключать библиотеки и
использовать файлы уровнем выше (../), которые не будут видны из нета даже при
отключенной поддержке .htaccess

За сим прощаюсь. Юрий Истомин.
Номер выпуска : 3096
Возраст листа : 241 (дней)
Количество подписчиков : 406
Адрес в архиве : http://subscribe.ru/archive/comp.soft.prog.prog/msg/150176
Получить правила : mailto:comp.soft.prog.prog-rules@subscribe.ru
Формат "дайджест" : mailto:comp.soft.prog.prog-digest@subscribe.ru
Формат "каждое письмо" : mailto:comp.soft.prog.prog-normal@subscribe.ru
Формат "читать с веба" : mailto:comp.soft.prog.prog-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:comp.soft.prog.prog-list@subscribe.ru
Отписаться: mailto:comp.soft.prog.prog--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить  
"Юрий Истомин"
Thu, 20 May 2004 16:40:15 +0400 (#150176)