• Publicidad

Problemas de seguridad

Preguntas y comentarios relacionadas con HTML y CSS.

Problemas de seguridad

Notapor marcosss » 2007-08-31 05:11 @257

Hola, estoy haciendo un programa en PHP y JavaScript donde los usuarios tienen que autentificarse para poder entrar.

La seguridad la implemento de la siguiente manera:

- Tengo un script llamado 'autentificarse.php' en el que se le pide al usuario su login y contraseña.
- A continuación en un script llamado 'control.php' compruebo si ese login y esa contraseña están incluidas en la BD y:

Sintáxis: [ Descargar ] [ Ocultar ]
Using php Syntax Highlighting
        session_start();

        $_SESSION['autentificado'] = "SI";
   
        header ("Location: http://localhost/miBD/index.php?login=".$fila['login']."");
               
}else {
    //si no existe le mando otra vez a la portada
        header("Location: autentificarse.php?errorusuario=si");
}
Coloreado en 0.020 segundos, usando GeSHi 1.0.8.4


Abro la sesión (session_start()) y guardo una variable en la sesión 'autentificado', que servirá como referencia más adelante para ver si un usuario está autentificado o no. Si lo está lo mando al index, pero si no lo está vuelve a la página 'autentificarse.php'.

- Tengo un fichero llamado 'seguridad.php' que incluyo en todos los script que no quiero que puedan ser abiertos en el navegador poniendo 'http://localhost/miBD/miScript.php?id=1'. El fichero seguridad tiene el siguiente código:
Sintáxis: [ Descargar ] [ Ocultar ]
Using php Syntax Highlighting
<?
session_start();

if ($_SESSION['autentificado'] != "SI") {
    //si no existe, envio a la página de autentificacion
    header("Location: autentificacion.php");
    //ademas salgo de este script
    exit();
}
?>
Coloreado en 0.009 segundos, usando GeSHi 1.0.8.4

pero probando cosas me pasa una cosa curiosa, si autentifico a un usuario en el navegador mozilla y abro otra pestaña u otra ventana en ese mismo navegador ya puedo poner 'http://localhost/miBD/miScript.php?id=1' las veces que quiera que consigo abrir el script, aunque sea con otro usuario al que he autentificado, cosa que no creo que sea muy segura.

En cambio si abro por ejemplo el explorer y pongo lo mismo 'http://localhost/miBD/miScript.php?id=1', no me lo abre, sino me aparece el siguiente warning:

Código: Seleccionar todo
Warning: Cannot modify header information - headers already sent by (output started at C:\server\web\miBD\index.php:10) in C:\server\web\miBD\Seguridad\seguridad.php on line 6


¿Por qué me pasa esto? ¿Cómo puedo modificar la implementación de seguridad en mi programa para que no pasen estas cosas? ¿Qué me aconsejáis que use como seguridad teniendo en cuenta que el programa se usará en una intranet?

Muchas gracias.
marcosss
Perlero nuevo
Perlero nuevo
 
Mensajes: 87
Registrado: 2007-05-14 06:23 @307

Publicidad

Notapor Gourbette » 2008-06-22 19:06 @837

Hola,

Si inicias sesión y autentificas un usuario, este podrá acceder a la página protegida (lógicamente) aunque abra una ventana nueva.

La sesión termina al cerrar por completo el navegador.

Por otra parte, lo que te ocurre con IE, no sé qué más tienes en tu código, pero normalmente ese error ocurre al imprimir texto antes de iniciar sesión (session_start()) o utilizar header().
Gourbette
Perlero nuevo
Perlero nuevo
 
Mensajes: 2
Registrado: 2008-06-22 18:35 @816


Volver a HTML

¿Quién está conectado?

Usuarios navegando por este Foro: No hay usuarios registrados visitando el Foro y 2 invitados