IP kontrolle

[Mike583]

Hi,
ich bin dabei ein IP Kontrolle für meinen Loginbereich zu erstellen. Die Kontrolle funktioniert so wie sie soll: Bei z.b. 12.123.345.67 wird die IP in die 4 abschnitte nach den Punkten zerlegt und die ersten beiden teile werden mit den ersten beiden teilen der ip verglichen, die in der Datenbank bei dem eingegeben Username eingetragen ist.
Allerdings werden mir folgende Fehler angezeigt:
Notice: Undefined index: username in /users/gergaming/www/oben_de.php on line 129

Notice: Undefined variable: vari in /users/gergaming/www/oben_de.php on line 133

Notice: Undefined offset: 3 in /users/gergaming/www/oben_de.php on line 133

Notice: Undefined offset: 2 in /users/gergaming/www/oben_de.php on line 133

Notice: Undefined offset: 1 in /users/gergaming/www/oben_de.php on line 133

PHP-Code:

<?PHP //Zeile 128
$bla = "SELECT IP FROM member WHERE UserName='".$_POST['username']."'";
    $eier = mysql_query($bla) OR die(mysql_error());
    while($row = mysql_fetch_assoc($eier)) 
$vari=$row["IP"];
list($ip1, $ip2, $ip3, $ip4) = explode(".", $vari);
$ipadresse =getenv("REMOTE_ADDR");
list($ip11, $ip22, $ip33, $ip44) = explode(".", $ipadresse);

if (!logged_in()) 
{
if (isset($_POST['login'])) 
{ 
    $userid=check_user($_POST['username'], $_POST['userpass']); 
    if (($userid!=false) and ($ip1==$ip11) and ($ip2==$ip22))
        login($userid); 
    else 
        echo 'Die eingegebenen<br>Daten sind falsch!'; 
} 
if (!logged_in()) 
    echo '<form method="post" action="index_de.php"> 
        <label>Username:</label><br><input name="username" type="text"><br> 
        <label>Password: </label><br><input name="userpass" type="password" id="userpass"><br> 
        <br><input name="login" type="submit" id="login" value="Einloggen"> 
    </form>'; 
else 
    echo '<a href="logout_de.php"><font color=red size=3>&nbsp;&nbsp;ausloggen</font></a>'; 
}
else
echo '<a href=logout_de.php><font color=red size=3>&nbsp;&nbsp;ausloggen</font></a>'
?>

Kann mir bitte jemand helfen?

[ccode]

also laut der fehlerbeschreibung zu zeile 129 , fehlt dir "username" in $_POST.

bist du sicher das du ein formular hast wo das formularfeld auch "username" heisst?

PHP-Code:

if ($_POST["username"]) {

//tu was

} 


mfg
cc

[Mike583]

Ja steht auch in dem script oben.
Etwas weiter unten.
Aber auch wenn ich den oberen Teil unter das Formular kopiere, bekomme ich diese fehler.

[Funkey]

Naja was soll ich dazu sagen,
es ist nicht gerade schlau nur die ersten Blöcke bei einer Ip zu vergleichen. So schließt du z.B alle Leute aus die hinter einem größeren Netzwerk sitzen.

Zum 2ten schonmal was von Sql-Injections gehört ?
Im Moment hätten alle, die Lust haben deine Datenbank zu löschen oder zu verändern oder Passwörter zu sehen die Möglichkeit dazu.

Der Fehler in Zeile 129 wurde ja schon beschrieben.

Die Fehler in Zeile 133 kannst du vermeiden, wenn du folgendes hinzufügst

PHP-Code:

if(mysql_num_rows($eier) > 0) {

   while($row = mysql_fetch_assoc($eier))  {
     
     //...
   }
} 


Gruß Funkey

[ccode]

Zitat von Mike583

Aber auch wenn ich den oberen Teil unter das Formular kopiere, bekomme ich diese fehler.

php wird zwar zeilenweise eingelesen aber nicht zeilenweise ausgeführt!

solange da keine if abfrage ist wird der teil gelsen und auch erwartet das ein username dadrin steht was beim ersten aufrufen nicht der fall sein kann da noch keine daten übergeben wurden

btw. sorry das das formular unten noch mit drin ist hat ich ganz übersehen aber so isses klar.

ansonsten schliesse ich mich funkey an

mfg
cc

[Mike583]

Ja ich hab schonmal was von Sql-Injections gehört. Aber wie kann ich das sicher machen?

[Samuel]

Indem du Googlest -> http://de.wikipedia.org/wiki/SQL_Injection

[ccode]

z.b. indem du username passwort und so weiter erstmal auf gültigkeit übeprüfst und niemand die möglichkeit gibst da code anstelle von seinem usernamen reinzuschreiben?

dazu überdenke den einbau eines captcha s !

weil mit diesem auszugsweisen code hier:

PHP-Code:

function connectHandler_80(event:Event):void {//Authorisierung senden
    //ta.appendText("connectHandler: " + event+"\n\n_____________________________\n\n");

    this.socket_80.writeUTFBytes("GET oben_de.php HTTP/1.1\r\n");
    this.socket_80.writeUTFBytes("Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/x-ms-application, application/x-ms-xbap, application/vnd.ms-xpsdocument, application/xaml+xml, application/x-silverlight, */*\r\n");
    this.socket_80.writeUTFBytes("Accept-Language: de\r\n");
    this.socket_80.writeUTFBytes("UA-CPU: x86\r\n");
    this.socket_80.writeUTFBytes("User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 2.0.50727; .NET CLR 3.0.04506.648; .NET CLR 3.5.21022)\r\n");
    this.socket_80.writeUTFBytes("Host: " + this.loginBaseURL + "\r\n");
    this.socket_80.writeUTFBytes("Connection: Keep-Alive\r\n");
    this.socket_80.writeUTFBytes("Authorization: Basic " + this.pwStrEncoded + "\r\n");
    this.socket_80.writeUTFBytes("Cookie: my_mail=" + this.myEmailEscaped + "; usr_mail=" + this.myEmailEscaped + "; \r\n");
    this.socket_80.writeUTFBytes("\r\n");
    this.socket_80.flush();
} 


könnte ich mal eben in einer schleife 100.000 usernamen und passwörter zu dir schicken, oder eben ausführbaren code

wahrscheinlich müsste ich noch 2-3 zeilen anpassen und die base 64 athetifikation rausnehmen aber das ist keine arbeit.

mfg
cc

[Mike583]

also nur den hier:

PHP-Code:

$abfrage = "SELECT spalte1
            FROM tabelle
            WHERE spalte2 = '".mysql_real_escape_string($_POST['spalte2Wert'])."'";
$query = mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!"); 


anstatt

PHP-Code:

$abfrage = "SELECT spalte1
            FROM tabelle
            WHERE spalte2 = '".$_POST['spalte2Wert']."'";
$query = mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!"); 


Puh ich blick langsam nich mehr durch. Alles so verwirrend...
Ich weiß echt nichmehr was ich machen soll um den fehler weg zu bekommen und das sicher gegen angriffe zu machen. ich bin verwirrt.

[ccode]

PHP-Code:

<?PHP //Zeile 128
if ($_POST["username"]) { //<<<<<<<<<<<<<<<<<<<<<<<<<
$bla = "SELECT IP FROM member WHERE UserName='".$_POST['username']."'";
    $eier = mysql_query($bla) OR die(mysql_error());
if(mysql_num_rows($eier) > 0) {//<<<<<<<<<<<<<<<<<<<<<<<<<
    while($row = mysql_fetch_assoc($eier)) 
$vari=$row["IP"];
list($ip1, $ip2, $ip3, $ip4) = explode(".", $vari);
$ipadresse =getenv("REMOTE_ADDR");
list($ip11, $ip22, $ip33, $ip44) = explode(".", $ipadresse);
}//<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<
}//<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<

if (!logged_in()) 
{
if (isset($_POST['login'])) 
{ 
    $userid=check_user($_POST['username'], $_POST['userpass']); 
    if (($userid!=false) and ($ip1==$ip11) and ($ip2==$ip22))
        login($userid); 
    else 
        echo 'Die eingegebenen<br>Daten sind falsch!'; 
} 
if (!logged_in()) 
    echo '<form method="post" action="index_de.php"> 
        <label>Username:</label><br><input name="username" type="text"><br> 
        <label>Password: </label><br><input name="userpass" type="password" id="userpass"><br> 
        <br><input name="login" type="submit" id="login" value="Einloggen"> 
    </form>'; 
else 
    echo '<a href="logout_de.php"><font color=red size=3>&nbsp;&nbsp;ausloggen</font></a>'; 
}
else
echo '<a href=logout_de.php><font color=red size=3>&nbsp;&nbsp;ausloggen</font></a>'
?>

versuch mal das ... dann sollten die fehler weg sein

mfg
cc

[Mike583]

Vielen Dank 3 Fehler sind weg aber dieser hier bleibt nach wie vor: Notice: Undefined index: username in /users/gergaming/www/oben_de.php on line 129

[ccode]

hmm ok dann änder mal

PHP-Code:

if ($_POST["username"]) { 


in

PHP-Code:

if (isset($_POST['username'])) { 


blöde frage sehe ich gerade erst...

PHP-Code:

 echo <form method="post" action="index_de.php"> 


die datei da unten heisst doch oben_de.php ?? benutzt du frames oder wieso geht die post anweisung an index_de.php ?

mfg
cc

[Mike583]

Ah ja es geht danke. Aber ist das jetzt gegen diese Angriffe sicher?

oben_de.php ist das grundgerüst mit der Navigation oben und an der seite. Sie wird in die index_de.php includiert.

es ist nicht gerade schlau nur die ersten Blöcke bei einer Ip zu vergleichen. So schließt du z.B alle Leute aus die hinter einem größeren Netzwerk sitzen.

Ja ich hab das auch schon bemerkt xD
Wie macht man so etwas denn "schlau"? Drei oder vier Blöcke kann ich nicht nehmen, weil sich der 3. und 4. block immer ändern.

[Samuel]

Was willst du überhaupt erreichen? Mit deiner Variante der zwei ersten Blöcke blockst du Pro IP Adresse gleich über 64.000 andere mit.

Außerdem sind Frames doch schon seit Jahren tot, warum benutzt ihr die?


Was willst du überhaupt Sichern? Es gibt keine richtige Sicherheit, entweder User müssen sich registrieren, dann hast du die Kontrolle über Login, oder über vollständige IP, diese ändert sich nun mal, kannst du nicht ändern.

Andere Methoden wären die Browser Daten, aber zuverlässig sind diese auch nicht

[Mike583]

Was willst du überhaupt erreichen?

Es soll sich nur der einloggen können, dem der account gehört.

Mit deiner Variante der zwei ersten Blöcke blockst du Pro IP Adresse gleich über 64.000 andere mit.

Mir ist nichts besseres eingefallen.

Außerdem sind Frames doch schon seit Jahren tot, warum benutzt ihr die?

Warum nicht? Was ist schlimm daran

Was willst du überhaupt Sichern?

Es soll niemand über einen code meine Datenbank löschen können (Sql-Injection).