PHP Beveiliging
.
Ik wil weten of er een lek in zit, dit is een loginsys dat ik heb gescript en wil gaan gebruiken, ik heb veel tijd in de beveiliging gestoken en ik wil weten of dat genoeg is
Als we niks weten kunnen we weinig doen he. We hebben geen webmaster info of andere user info. We weten alleen dat er een loginform is, en meer dan sql injection proberen te doen gaat niet lukken 
Is gewoon veilig zolang niemand je sessie id kaapt
Geef maar. 
Moet je wel ff opnieuw inloggen, en dan dat id hier plaatsen, en niet meteen uitloggen. 
Bruteforce al geprobeerd ?
@thaan
Dat zeg ik toch ook niet.
iisys reageerde met "Bruteforce al geprobeerd?"
Ik reageerde erop dat het niet hacken is en dat het eigenlijk ook niet beveilig kan worden. Zelfs als heb je "anti-BF" kan het nog gebruteforced worden, het duurd alleen nogal lang.
Maarja, laat maar zitten, geen meningsverschil met issys.
[...]
Hij heeft het niet over hacken, hij heeft het over beveiligingslekken. Zonder anti-BF (om t maar ff zo te noemen) heb je toch wel een groot lek.
Is dat met een db gedaan, die BF-protection, of met cookies/sessies ?
Als t met cookies/sessies gedaan is zit r nog een lek in, want die kunnen nogal makkelijk aangepast worden zoals je vast wel weet.
Tenzij je de pw ook in een cookie zet, en die checkt op het meegeleverde pw.
Of natuurlijk een hash.
@thaan
Dat zeg ik toch ook niet.
iisys reageerde met "Bruteforce al geprobeerd?"
Ik reageerde erop dat het niet hacken is en dat het eigenlijk ook niet beveilig kan worden. Zelfs als heb je "anti-BF" kan het nog gebruteforced worden, het duurd alleen nogal lang.
Maarja, laat maar zitten, geen meningsverschil met issys.
Dan heeft het geen zin...
Als Syncie zegt dat je na 3 foute pogingen 1 kwartier moet wachten, kun je 96 pogingen per dag doen; ruim 35.000 per jaar, en dan ben je net bijna klaar en heeft Syncie zijn wachtwoord veranderd, dus heeft niet veel nut meer dan.
