Sicurezza Login-Password

[max.400]

Sicurezza Login-Password

Ciao a tutti vado subito al punto.

Il login tipo nome utente e password è sicuro?
In genere il codice Php viene elaborato dal server
guardando il sorgente pagina si vede solo la parte in html e non php

Ma un utente esperto potrebbe leggerlo?
Mi posso fidare?

tanto per fare un esempio

if($password=="banana"){
header("Location: area_riservata.php");
}else{
header("Location: pagina_di_errore.php");
}

[marcocarrieri]

Da quello che so se li dovessi scrivere solo nei Cookies, esistono semplici tool/addons che permettono di modificare manualmente questi ultimi, quindi legare la sicurezza di un login a un solo controllo cookie credo non sia sicuro...
Forse una sorta di controllo incrociato SESSION + COOKIES?
Attendiamo comunque spiegazioni da chi ne sa più di me.

Saluti, Marco.

[thedarkita]

Ciao max_400,

il codice php non è possibile leggerlo, ovviamente bisogna ricordarsi di fare i controlli anche nella pagina area riservata, altrimenti immettendo l'url diretto hai scavalcato il controllo.

[max.400]

@marco: session cookie? - Bòòòò... (una volta ho lavorato sulle sessioni ma i cookie non li ho ancora studiati)

@Thedarkita: si tratta di un file da scaricare e per fortuna non compare
c'è un header diretto al file sorgente.rar

In pratica ho creato una password di accesso per scaricare i file sorgenti di .fla compressi in rar

Il form dove si scrive la password e la pagina ricevente per il controllo
sono tutti nella stessa pagina... se la password è corretta si scarica il file.rar altrimenti ti spunta il messaggio di errore.

Purtroppo non posso mettere link, se no mi sparano... sono in fase di moderazione altrimenti sarebbe più chiaro il discorso.

Tutto qui.
Grazie per la vostra assistenza.

[thedarkita]

Basta mettere l'url diretto del rar e lo hai scaricato comunque, non sò quanto sia importante questo file per te, ma comunque nella sottosezione Script utili trovi un tutorial per camuffare i download.

[max.400]

l'ho messo in una cartella a parte con un nome diverso e utilizzando un percorso relativo e non assoluto
l'indirizzo del file.rar non compare
si rimane sempre nel form.

[max.400]

L'ho messo in una cartella a parte con un nome diverso e utilizzando un percorso relativo e non assoluto.
L'indirizzo del file.rar non compare.
Si rimane sempre nel form.

if($password=="banana"){
header("Location: file.rar");
}else{
echo "Devi essere iscritto per poter scaricare il file";
}

PS: ho problemi di connessione per errore devo aver creato doppio post nel tentativo di modificare questo attuale

[thedarkita]

L'indirizzo se uno vuole vederlo, lo vede comunque... Ad esempio su firefox basta mentre lo scarica o sta scaricando fare copia indirizzo sorgente, non c'è nemmeno bisogno di fare molto.

[max.400]

Ho anche download helper...
Dovrei fartelo vedere...