Newsgroup: it.comp.www.php
Titolo: script sicuro???

Ho trovato questo semplice script per gestire un'area "protetta" con php.
file login.htm
<FORM ACTION="protezione.php" METHOD="POST">
<INPUT TYPE="password" NAME="passwd" SIZE="20">
file protezione.php
<?php
if($passwd=="giustapassword"):?>
<html>
visualizza questo se la pwd e' esatta
</html>
<? else: ?>
<html>
visualizza questo se la pwd e' sbagliata
</html>
<?endif?>
Per funzionare funziona alla perfezione ma quanto si puo' dire sicuro???
E' possibile scavalcare questa protezione?
E se si, come?
GRAZIE per le risposte.

 password giusta e' in chiaro dentro allo script sul server.
Ok, proprio come mi aspettavo...
Ma come fa un utente a leggere in chiaro la pwd dentro la pagina php?
Scusate la domanda banale, ma sono agli inizi degli inizi di php...

 if($passwd=="giustapassword"):?>
da dove prendi "giustapassword"? da un db? da un txt? le password sono
criptate(dallo script non si direbbe) definire e conservare la pwd
all'interno dello script è deprecato e non è sicuramente riutilizzabile, qui
ci sono degli script dai quali prendere anche semplicemente spunto:
http://www.hotscripts.com/PHP/Scripts_and_Programs/User_Authentication/index.html
stefano

 all'interno dello script è deprecato e non è sicuramente riutilizzabile
purtroppo il mio host non supporta SQL dunque nel caso di cui sopra
"giustapassword" e' scritta all'interno del file protezione.php
Mi rendo perfettamente conto che e' un sistema fragile, tuttavia non riesco
proprio a capire in che modo si possa andare a leggere il contenuto del file
protezione.php di modo da leggere la pwd....

 
Cambiamo filosofia che e' meglio:
affidarsi al modulo mod_auth di apache ?
Non mi pare sia conveniente inserire la pw in un codie sorgente... 
sosprattutto se e' in chiaro...

protezione.php di modo da leggere la pwd....
Non si sa mai, ma perche' rischiare? Usa md5.
	if ('XXXXX' == md5($pass))
	{
		tutto ok
	}
	else
	{
		print 'Errore';
		print "<!-- " . md5($pass) . " -->";
		exit();
	}
XXXXX e' l'MD5 della password, per cui nello script ci finisce qualcosa
come "47fe5322ae7b448c3cbdadb8e7647166" - da cui risalire alla password
e' arduo assa', bisogna andare a forza bruta.
Leonardo
-- 
Avere studiato senza mettere in pratica e' inutile;
mettere in pratica senza avere studiato e' pericoloso.
                                                - Conphpucio

Scusa ma credo di non aver capito..
nello script che hai postato, dove devo scriverla la password?
GRAZIE

nello script che hai postato, dove devo scriverla la password?
Non devi scriverla, devi metterci il suo codice MD5.
Per esempio, al primo giro ci lasci XXXX e gli dai la password buona; lo
script ti butta fuori, e ti informa che l'MD5 della password che gli hai
dato e', poniamo, 47fe5322ae7b448c3cbdadb8e7647166.
Allora modifichi lo script e metti 47fe5322ae7b448c3cbdadb8e7647166 dove
ora c'e' XXXX.
Adesso, la password buona passa, le altre rimbalzano.
E nello script la password non c'e', sicche', anche ammesso che qualcuno
possa accedere allo script in seguito ad altre vulnerabilita', non sara'
in grado di collegarsi.


GRAZIE!
sei stato molto chiaro...
col tuo consiglio sono riuscito ad ottenere la codifica...