Re: Password op pagina ?

[Inca]

Peter Brummelkamp wrote:
> Heeft iemand voor mij een stukje (PHP (?)-)script, waarmee ik een
> pagina met een password kan afsluiten !?!?

Het is eigenlijk een vraag voor de buren (
news://nl.internet.www.server-side )
dus, cross en follow-up daarheen

2 mogelijkheden:

1 .htaccess - valt echt erg mee als je gewoon rustig leest. Dit beveiligt
een hele directory (met alle files die erin staan)

2. Een stukje php wat mogelijk vreselijk veilig is, maar voor iets simpels
wel zal werken:

Bovenaan je pagina zet je:

<?php
$pwd = $_GET["pwd"];
if( $pwd == "password")
{
?>

Dan de html (incl doctype etc) en helemaal onderaan:

<?php } ?>


Dat was ongeveer het simpelst wat ik kon bedenken. Aanroepen doe je met
testpagina.php?pwd=password
of met een formulier met action="get"

Uiteraard kun je nu zelf naar believen de juiste wachtwoorden uit een andere
file halen, ze encrypten (heeft php standaardfuncties voor), gebruik maken
van de variabele $_POST en een formulier met action="post" (dan is je
wachtwoord niet zichtbaar in de url), of een alternatief aanbieden als het
inloggen niet gelukt is. (Je krijgt nu gewoon een geheel lege pagina bij een
foutief wachtwoord)

Inca

[Inca]

Inca wrote:
> 2. Een stukje php wat mogelijk vreselijk veilig is, maar voor iets
> simpels wel zal werken:

Eh, 'mogelijk NIET vreselijk veilig' bedoelde ik dus.

Inca

[John Bokma]

Inca wrote:
> Peter Brummelkamp wrote:
>
>>Heeft iemand voor mij een stukje (PHP (?)-)script, waarmee ik een
>>pagina met een password kan afsluiten !?!?
>
>
> Het is eigenlijk een vraag voor de buren (
> news://nl.internet.www.server-side )
> dus, cross en follow-up daarheen
>
> 2 mogelijkheden:
>
> 1 .htaccess - valt echt erg mee als je gewoon rustig leest. Dit beveiligt
> een hele directory (met alle files die erin staan)
>
> 2. Een stukje php wat mogelijk vreselijk veilig is, maar voor iets simpels
> wel zal werken:
>
> Bovenaan je pagina zet je:
>
> <?php
> $pwd = $_GET["pwd"];
> if( $pwd == "password")
> {
> ?>
>
> Dan de html (incl doctype etc) en helemaal onderaan:
>
> <?php } ?>
>
>
> Dat was ongeveer het simpelst wat ik kon bedenken. Aanroepen doe je met
> testpagina.php?pwd=password
> of met een formulier met action="get"

Werkt prima, en over SSL zelfs veilig. Over een normale verbinding gaat
je password leesbaar over het netwerk, maar dat is bij .htaccess ook zo.

Let op(!). Deze URL komt in de referer. Dus als er een externe link op
die pagina staat, en de bezoeker klikt -> referer bevat password.

> Uiteraard kun je nu zelf naar believen de juiste wachtwoorden uit een andere
> file halen, ze encrypten (heeft php standaardfuncties voor), gebruik maken

Een goede manier is: bereken een hash van je password (b.v. MD5) en zet
de hash in het bestand. Bij een goede hash is er geen terugrekenfunctie
van hash -> password. Als je het password binnen krijgt, bereken je de
hash. Als de hash als berekend gelijk is aan die in het bestand -> verder.

John

--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
Web site hints: http://johnbokma.com/websitedesign/ ~ ICQ 218175426