Passwortschutz

[Gunthers]

Ich habe den Zugang zu Internetseiten mit einem Passwortschutz versehen. Das Passwort konnte man sich selbst erstellen.

Benutzernamen:
<input name="benutzername" value="<?php echo htmlspecialchars(stripslashes($benutzername)); ?>" maxlength="10">

Passwort:
<input name="passwort" type="password" value="<?php echo htmlspecialchars(stripslashes($passwort)); ?>" maxlength="10">

<input type="submit" name="submit" value="Einloggen">

Wie sicher ist das ?

[Florian]

Solange es Hacker und Bruteforce gibt, ist nichts sicher...
aber so...
solange die passwörter included werden mit einer datei die mit .php endet

oder aus ner db kommen

ist es schon einigermaßen sicher...

[wahsaga]

hi,

Wie sicher ist das ?

Für die Ausgabe von Usereingaben auf einer HTML-Seite sollte es hinreichend sicher sein.

Mit dem Passwortschutz hat dieser Code allerdings nichts zu tun, also lässt sich über dessen Qualität auch nichts sagen.

gruß,
wahsaga

[Robert Bienert]

Moin!

Ich habe den Zugang zu Internetseiten mit einem Passwortschutz versehen. Das Passwort konnte man sich selbst erstellen.

Mit Hilfe des folgenden Codes oder auf einem anderen Weg?

Benutzernamen:

<input name="benutzername" value="<?php echo htmlspecialchars(stripslashes($benutzername)); ?>" maxlength="10">

Passwort:
<input name="passwort" type="password" value="<?php echo htmlspecialchars(stripslashes($passwort)); ?>" maxlength="10">

<input type="submit" name="submit" value="Einloggen">

>   
> Wie sicher ist das ?  
  
Auf die Ausgabe des Passwortes solltest du verzichten: Im Formularfeld stehen zwar nur Sternchen, allerdings steht das Passwort im Klartext im HTML-Code der Seite:  
  
~~~php
$passwort = 'streng geheim';  
  
// Damit ergibt dieser Code  
Passwort: <input name="passwort" type="password" value="<?php echo htmlspecialchars(stripslashes($passwort)); ?>" maxlength="10">  
// folgende HTML-Ausgabe:

Passwort: <input name="passwort" type="password" value="streng geheim" maxlength="10">

Wer also einen Blick in den HTML-Code wirft, erhält so das Passwort. Dieser Blick kann dabei auch durchaus auf einem Proxy-Server im Internet passieren, verzichte also darauf.

Weiterhin ist dein Formular nicht gegen Cross-Site Scripting geschützt:

$benutzername = '"><strong>gehackt</strong>';  
  
// Damit ergibt dieser Code  
Benutzernamen: <input name="benutzername" value="<?php echo htmlspecialchars(stripslashes($benutzername)); ?>" maxlength="10">  
// folgende HTML-Ausgabe:

Benutzernamen: <input name="benutzername" value=""><strong>gehackt</strong>" maxlength="10">

Aus diesem Grund möchtest du außerdem die Funktion htmlspecialchars benutzen.

Viele Grüße,
Robert

[Dennis]

Hi Robert,

Benutzernamen: <input name="benutzername" value="[code lang=php]<?php echo htmlspecialchars(stripslashes($benutzername)); ?>" maxlength="10">[/code]

^^^^^^^^^^^^^^^^

Aus diesem Grund möchtest du außerdem die Funktion htmlspecialchars benutzen.

Hehe, gut geschlafen? *fg*

MfG, Dennis.

[Robert Bienert]

Moin!

Benutzernamen: <input name="benutzername" value="[code lang=php]<?php echo htmlspecialchars(stripslashes($benutzername)); ?>" maxlength="10">[/code]
                                                                ^^^^^^^^^^^^^^^^

Aus diesem Grund möchtest du außerdem die Funktion htmlspecialchars benutzen.

Hehe, gut geschlafen? *fg*

Oh mann, das habe ich total übersehen, aber das kann passieren, wenn man sich erst auf etwas Anderes (Ausgabe des Passwortes) konzentriert und dann auch noch eine längliche Codezeile vorfindet. Vielleicht sollte ich aufhören, mich an Code zu gewöhnen, der schon nach spätestens 72 Zeichen umbrochen wird ;-)

P.S.: Gut zu wissen, dass ich hier im Forum HTML- und PHP-Schnipsel ineinanderschachteln kann.

Vielen Dank und viele Grüße,
Robert

[Dennis]

Hi Robert,

P.S.: Gut zu wissen, dass ich hier im Forum HTML- und PHP-Schnipsel ineinanderschachteln kann.

Ja, das ist eine feine Sache, du kannst beliebige Code Schnippsel verschachteln, wenn ich mich recht erinnere laut CK bis auf eine Tiefe n. Erspart das schließen des ersten Code-Blockes und anschließende Öffnen eines neuen ;-)

MfG, Dennis.