админка

@little_dita · Регистрация: 12.08.2011

Author24 — интернет-сервис помощи студентам

вот набросала тут админку

PHP

<?php
session_start();
//Поключаем конфиг
include("config.php");
 
//Необходимо подключиться к БД
$link = mysql_connect($dblocation, $dbuser, $dbpasswd)
or die("Не могу подключиться" );
// сделать $DB текущей базой данных
mysql_select_db($dbname, $link) or die ('Не могу выбрать БД');
 
//Если нет сессий
if(md5(crypt($_SESSION['user'],$_SESSION['password'])) != $_SESSION['SID']) {
 //Если кнопка не нажата, отображаем форму
if(!$_POST['do']){
 
echo '
<a href="registration.php">регистрация</a> <br/><br/>
<form name="1" action="" method="post">
     <input name="login" type="text" value=""> <br/>
     <input name="password" type="password" value="">  <br/>
     <input name="do" type="submit" value="Войти">
</form>';
 
}
//Если кнопка нажата
if($_POST['do']) {
//Проверяем данные
$login = $_POST['login'];
$upass = $_POST['password'];
if($login !='' AND $upass !='') {
//Создаем запрос
$q1=mysql_query("SELECT * FROM users WHERE nick='".$login."' AND password='".md5($upass)."' AND status=1");
 
//Проверяем существует ли хоть одна запись
if(mysql_num_rows($q1)===1) {
//Если есть, то создаем сессии и перенаправляем на эту страницу
$r=mysql_fetch_array($q1);
$_SESSION['user'] = $r['nick'];
$_SESSION['password'] = $r['password'];
 
$_SESSION['SID'] = md5(crypt($r['nick'],$r['password']));
 
@Header("Location: index.php");
}
else {echo 'Неверный логин/пароль; Возможно Ваш аккаунт не активирован';}
}
}
else {echo 'Введите данные';}
}
else {
 
   $q2 = @mysql_query("SELECT * FROM users WHERE nick='".$_SESSION['user']."' AND password='".$_SESSION['password']."' AND status=1");
if(@mysql_num_rows($q2)==1){
   $r2 = @mysql_fetch_array($q2);
 ?>  
   <right><?php echo 'Здравствуйте '.ucfirst($r2['nick']).'<span style="padding:0px 10px;">';?>
<? echo '<a href="index.php?exit=1">выход</a>';?></right>
 <?  
if($_GET['page'] !='') {
@include("tpl/".$_GET['page'].".php");
}
else { @include("privetstvie.php");}
 
}
   }
  if($_GET['exit']) {@session_destroy(); unset($_GET['exit']); mysql_close($link);   @Header("Location: index.php");}
?>

работает так захожу site.com/admin/
показывается форма входа ввожу данные и открывзется то что вы видите
вопрос такой как защитить другие страницы админки?
или это можно только если везде этот большой код вставлять?

@solar_wind · 18.11.2011, 06:43

Используй .htaccess

__PION__ · 18.11.2011, 08:40

Сообщение от little_dita

вопрос такой как защитить другие страницы админки?

используй сессии. При успешном входе в панель админа открывается сессия, назови ее напр. $_SESSION['admin']. И на каждой странице надо будет проверять существует ли такая сессия, если нет die(); напр., или на страницу 404.
Если у тя будет одна точка входа, то проверка будет только в одном файле (в файле точки входа)

@little_dita · 18.11.2011, 08:58 **[ТС]**

Сообщение от Love_and_Peace

используй сессии

a подскажите пожайлуста как это реализовать
например есть станица

PHP

<?php $titlepage =  "Редактирование/";?>
<?php include("header.php");?>  
<?php include("util/sitebar.php");?>  
    <h1><center>Здравствуйте, вы находитесь в редактировании ..</center></h1>
 
  <?php include("footer.php");?>

kak к ней это все прикрепить

__PION__ · 18.11.2011, 09:36

ну как, у вас есть страница входа, там и пишите при удачном входе..

PHP

if (условие входа, напр., - правильные логин и пароль)
{
    // Создаем сессию с логическим значением. хотя можете с любым другим значением
    $_SESSION['admin'] = true;  
}
 
// и проверка
if(isset($_SESSION['admin']))
{
     header('Location: главная страница админки.php');
     die();             
}

а на остальных страницах надо будет теперь проверять открыта ли сессия или нет

PHP

<?php
if(!isset($_SESSION['admin']))
{
     header('Location: страница входа в админку.php');
     die();             
}
?>
<?php $titlepage =  "Редактирование/";?>
<?php include("header.php");?>  
<?php include("util/sitebar.php");?>  
    <h1><center>Здравствуйте, вы находитесь в редактировании ..</center></h1>
 
  <?php include("footer.php");?>

@little_dita · 18.11.2011, 10:23 **[ТС]**

Сообщение от Love_and_Peace

ну как, у вас есть страница входа, там и пишите при удачном входе..

a куда мне его вставить в моем случаи как то не пойму?

__PION__ · 18.11.2011, 10:41

сама же пишешь

Сообщение от little_dita

работает так захожу site.com/admin/

т.е., мы попадаем на какой-то файл (не главный файл админки, а как бы промежуточный). И там уже решается пускать чека в админку или нет. Если пускаем, то запускаем сессию, иначе обратно же на промежуточный файл.

@little_dita · 18.11.2011, 10:51 **[ТС]**

Love_and_Peace,
это я поняла)
я не поняла куда мне это вставить в моем случаи

PHP

if (условие входа, напр., - правильные логин и пароль)
{
    // Создаем сессию с логическим значением. хотя можете с любым другим значением
    $_SESSION['admin'] = true;  
}
 
// и проверка
if(isset($_SESSION['admin']))
{
     header('Location: главная страница админки.php');
     die();             
}

@Sulik78 · 18.11.2011, 11:36

little_dita, в данном коде изначально sql инъекция поэтому если нужно что либо защитить надо сначала ее прикрыть

PHP

1	$q1=mysql_query(sprintf("SELECT * FROM users WHERE nick='%s' AND password='%s' AND status=1", mysql_real_escape_string($login), mysql_real_escape_string(md5($password)));

@little_dita · 18.11.2011, 11:39 **[ТС]**

Сообщение от Sulik78

little_dita, в данном коде изначально sql инъекция поэтому если нужно что либо защитить надо сначала ее прикрыть

PHP

1	$q1=mysql_query(sprintf("SELECT * FROM users WHERE nick='%s' AND password='%s' AND status=1", mysql_real_escape_string($login), mysql_real_escape_string(md5($password)));

a можите подсказать просто с регистрацией первый раз сталкиваюсь(

__PION__ · 18.11.2011, 11:40

Сообщение от little_dita

я не поняла куда мне это вставить в моем случаи

в файл обработчик входа в админку. ну где у тя форма входа

@little_dita · 18.11.2011, 11:43 **[ТС]**

Love_and_Peace,
так что ли

PHP

<?php
session_start();
//Поключаем конфиг
include("config.php");
 
//Необходимо подключиться к БД
$link = mysql_connect($dblocation, $dbuser, $dbpasswd)
or die("Не могу подключиться" );
// сделать $DB текущей базой данных
mysql_select_db($dbname, $link) or die ('Не могу выбрать БД');
 
//Если нет сессий
if(md5(crypt($_SESSION['user'],$_SESSION['password'])) != $_SESSION['SID']) {
 //Если кнопка не нажата, отображаем форму
if(!$_POST['do']){
 
echo '
<a href="registration.php">регистрация</a> <br/><br/>
<form name="1" action="" method="post">
     <input name="login" type="text" value=""> <br/>
     <input name="password" type="password" value="">  <br/>
     <input name="do" type="submit" value="Войти">
</form>';
if (условие входа, напр., - правильные логин и пароль)
{
    // Создаем сессию с логическим значением. хотя можете с любым другим значением
    $_SESSION['admin'] = true;  
}
 
// и проверка
if(isset($_SESSION['admin']))
{
     header('Location: index.php');
     die();             
}
 
}
//Если кнопка нажата
if($_POST['do']) {
//Проверяем данные
$login = $_POST['login'];
$upass = $_POST['password'];
if($login !='' AND $upass !='') {
//Создаем запрос
$q1=mysql_query("SELECT * FROM users WHERE nick='".$login."' AND password='".md5($upass)."' AND status=1");
 
//Проверяем существует ли хоть одна запись
if(mysql_num_rows($q1)===1) {
//Если есть, то создаем сессии и перенаправляем на эту страницу
$r=mysql_fetch_array($q1);
$_SESSION['user'] = $r['nick'];
$_SESSION['password'] = $r['password'];
 
$_SESSION['SID'] = md5(crypt($r['nick'],$r['password']));
 
@Header("Location: index.php");
}
else {echo 'Неверный логин/пароль; Возможно Ваш аккаунт не активирован';}
}
}
else {echo 'Введите данные';}
}
else {
 
   $q2 = @mysql_query("SELECT * FROM users WHERE nick='".$_SESSION['user']."' AND password='".$_SESSION['password']."' AND status=1");
if(@mysql_num_rows($q2)==1){
   $r2 = @mysql_fetch_array($q2);
 ?>  
   <right><?php echo 'Здравствуйте '.ucfirst($r2['nick']).'<span style="padding:0px 10px;">';?>
<? echo '<a href="index.php?exit=1">выход</a>';?></right>
 <?  
if($_GET['page'] !='') {
@include("tpl/".$_GET['page'].".php");
}
else { @include("privetstvie.php");}
 
}
   }
  if($_GET['exit']) {@session_destroy(); unset($_GET['exit']); mysql_close($link);   @Header("Location: index.php");}
?>

__PION__ · 18.11.2011, 11:49

Сообщение от little_dita

так что ли

так у тя же есть уже сессия, я даже твой код не посмотрел сначала

Вот его проверяй в начале каждой странице админки

Сообщение от little_dita

$_SESSION['SID'] = md5(crypt($r['nick'],$r['password']));

PHP

if(!isset($_SESSION['SID']))
{
     header('Location: index.php');
     die();             
}

кроме индексного файла в твоем случае получается

Добавлено через 51 секунду
а то что вписала, мою проверку, убери

@Sulik78 · 18.11.2011, 11:50

little_dita, думаю проще будет написать функцию проверки
залогинен админ или нет например

PHP

function isAdmin()
{
 $query = "запрос в базу проверяющий сессию/куки"
 return (условие) true ? false;
}

затем вызывать ее в каждом файле

PHP

if (!isAdmin())
{
  exit('Доступ запрещен');
}

если не админ - дальше не продолжать выполнять скрипт
или можно задать в константе

PHP

define("ADMIN", true);
// но смысл тот же
if (!defined("ADMIN"))
{
  exit('.......');
}

@little_dita · 18.11.2011, 11:54 **[ТС]**

Love_and_Peace,
сделала так

PHP

<?php
session_start();
//Поключаем конфиг
include("config.php");
 
//Необходимо подключиться к БД
$link = mysql_connect($dblocation, $dbuser, $dbpasswd)
or die("Не могу подключиться" );
// сделать $DB текущей базой данных
mysql_select_db($dbname, $link) or die ('Не могу выбрать БД');
 
//Если нет сессий
if(md5(crypt($_SESSION['user'],$_SESSION['password'])) != $_SESSION['SID']) {
 //Если кнопка не нажата, отображаем форму
if(!$_POST['do']){
 
echo '
<a href="registration.php">регистрация</a> <br/><br/>
<form name="1" action="" method="post">
     <input name="login" type="text" value=""> <br/>
     <input name="password" type="password" value="">  <br/>
     <input name="do" type="submit" value="Войти">
</form>';
if(!isset($_SESSION['SID']))
{
     header('Location: index.php');
     die();             
}
 
}
//Если кнопка нажата
if($_POST['do']) {
//Проверяем данные
$login = $_POST['login'];
$upass = $_POST['password'];
if($login !='' AND $upass !='') {
//Создаем запрос
$q1=mysql_query("SELECT * FROM users WHERE nick='".$login."' AND password='".md5($upass)."' AND status=1");
 
//Проверяем существует ли хоть одна запись
if(mysql_num_rows($q1)===1) {
//Если есть, то создаем сессии и перенаправляем на эту страницу
$r=mysql_fetch_array($q1);
$_SESSION['user'] = $r['nick'];
$_SESSION['password'] = $r['password'];
 
$_SESSION['SID'] = md5(crypt($r['nick'],$r['password']));
 
@Header("Location: index.php");
}
else {echo 'Неверный логин/пароль; Возможно Ваш аккаунт не активирован';}
}
}
else {echo 'Введите данные';}
}
else {
 
   $q2 = @mysql_query("SELECT * FROM users WHERE nick='".$_SESSION['user']."' AND password='".$_SESSION['password']."' AND status=1");
if(@mysql_num_rows($q2)==1){
   $r2 = @mysql_fetch_array($q2);
 ?>  
   <right><?php echo 'Здравствуйте '.ucfirst($r2['nick']).'<span style="padding:0px 10px;">';?>
<? echo '<a href="index.php?exit=1">выход</a>';?></right>
 <?  
if($_GET['page'] !='') {
@include("tpl/".$_GET['page'].".php");
}
else { @include("privetstvie.php");}
 
}
   }
  if($_GET['exit']) {@session_destroy(); unset($_GET['exit']); mysql_close($link);   @Header("Location: index.php");}
?>

теперь захожу в админку а он выдает что невозможно отобразить страницу(((

__PION__ · 18.11.2011, 12:02

Сообщение от little_dita

теперь захожу в админку а он выдает что невозможно отобразить страницу(((

я ж написал

Сообщение от Love_and_Peace

кроме индексного файла в твоем случае получается

@Sulik78 · 18.11.2011, 12:07

little_dita,

PHP

.........
//Проверяем данные
//если нет сессии если есть и она проверку прошла то можно сразу define('ADMIN', true);
$login = !empty($_POST['login']) ? mysql_real_escape_string($_POST['login']) : false;
$upass = !empty($_POST['password']) ? md5($_POST['password']) : false;
if($login && $upass) {
//Создаем запрос
$q1=mysql_query("SELECT COUNT(*) AS admin FROM users WHERE nick='".$login."' AND password='".$upass."' AND status=1");
 $r1 = mysql_fetch_assoc($q1);
 define("ADMIN", (bool)$r['admin']);
 if(ADMIN)
 {
   $_SESSION['user'] = $r['nick'];
   $_SESSION['password'] = $r['password'];
   $_SESSION['SID'] = md5(crypt($r['nick'],$r['password']));
 }
}
............

далее в файлах которые необходимо защитить в самом начале

PHP

if (!ADMIN)
{
  exit('ошибка');
}

@little_dita · 18.11.2011, 12:09 **[ТС]**

Love_and_Peace,
а исправила)))
а теперь в plan.php
дописала сверху вот это

PHP

<?php
if(!isset($_SESSION['SID']))
{
     header('Location: index.php');
     die();             
}
?><?php
if(!isset($_SESSION['SID']))
{
     header('Location: index.php');
     die();             
}
?>

и он при в ходи на эту страницу все всремя на index.php переводит даже если вошла(ну не на саму форму а на эту страницу else { @include("privetstvie.php");})

__PION__ · 18.11.2011, 12:17

мм.., попробуй сделать как Sulik78 говорит.
Не пойму зачем 2 раза делать проверку.
если не сработает попробуй перезагрузить браузер

@little_dita · 18.11.2011, 12:18 **[ТС]**

Сообщение от Sulik78

далее в файлах которые необходимо защитить в самом начале

записала в начале каждого файла так

PHP

<?php
if (!ADMIN)
{
  exit('ошибка');
}
?>

и всеравно открывает

__PION__ 960 / 801 / 85 Регистрация: 21.07.2010 Сообщений: 3,522
	18.11.2011, 12:02	16
	Сообщение от little_dita теперь захожу в админку а он выдает что невозможно отобразить страницу((( я ж написал Сообщение от Love_and_Peace кроме индексного файла в твоем случае получается 1

__PION__ 960 / 801 / 85 Регистрация: 21.07.2010 Сообщений: 3,522
	18.11.2011, 12:17	19
	мм.., попробуй сделать как Sulik78 говорит. Не пойму зачем 2 раза делать проверку. если не сработает попробуй перезагрузить браузер 0

@solar_wind 770 / 760 / 59 Регистрация: 06.07.2009 Сообщений: 3,021
	18.11.2011, 06:43	2
	Используй .htaccess 0

__PION__ 960 / 801 / 85 Регистрация: 21.07.2010 Сообщений: 3,522
	18.11.2011, 08:40	3
	Сообщение от little_dita вопрос такой как защитить другие страницы админки? используй сессии. При успешном входе в панель админа открывается сессия, назови ее напр. $_SESSION['admin']. И на каждой странице надо будет проверять существует ли такая сессия, если нет die(); напр., или на страницу 404. Если у тя будет одна точка входа, то проверка будет только в одном файле (в файле точки входа) 1

@little_dita 26 / 23 / 9 Регистрация: 12.08.2011 Сообщений: 576
	18.11.2011, 10:23 [ТС]	6
	Сообщение от Love_and_Peace ну как, у вас есть страница входа, там и пишите при удачном входе.. a куда мне его вставить в моем случаи как то не пойму? 0

__PION__ 960 / 801 / 85 Регистрация: 21.07.2010 Сообщений: 3,522
	18.11.2011, 10:41	7
	сама же пишешь Сообщение от little_dita работает так захожу site.com/admin/ т.е., мы попадаем на какой-то файл (не главный файл админки, а как бы промежуточный). И там уже решается пускать чека в админку или нет. Если пускаем, то запускаем сессию, иначе обратно же на промежуточный файл. 1

__PION__ 960 / 801 / 85 Регистрация: 21.07.2010 Сообщений: 3,522
	18.11.2011, 11:40	11
	Сообщение от little_dita я не поняла куда мне это вставить в моем случаи в файл обработчик входа в админку. ну где у тя форма входа 1