Shop-login F?r Faule Admins

[gswkaiser]

Nachdem ich das dauernde einloggen in den Shop leid war, habe ich die "login.php" so ge?ndert, dass man in der URL gleich die Login-Daten mit ?bergeben kann.

Mit einer URL wie

http://www.meinshop.de/login.php?action=pr...rd=meinpasswort

Ist man dann gleich im Shop eingeloggt!

Da die Standard "login.php" das nicht unterst?tzt, muss man dort eine ?nderung einf?hren:

Die Codezeilen

$email_address = xtc_db_prepare_input($_POST['email_address']);
$password = xtc_db_prepare_input($_POST['password']);

sind zu ersetzen durch

// W. Kaiser 	
$email_address=$_POST['email_address'];
$password =$_POST['password'];
if ($email_address=='')
{
 	$email_address=$_GET['email_address'];
}
if ($password == '')
{
 	$password=$_GET['password'];
}
$email_address = xtc_db_prepare_input($email_address);
$password = xtc_db_prepare_input($password);
// W. Kaiser

[polkhigh33]

gute idee, man kann aber auch einfach die passwortverwaltungsfunktionen des browsers (firefox, opera) verwenden, dann ist man auch mit 1 klick drin.

[xt:mzanier]

keine gute idee.

denn dann scheint diese url mit username und PW in ider log datei als url auf.

[polkhigh33]

denn dann scheint diese url mit username und PW in ider log datei als url auf.

stimmt :fear: gute einladung......

[smedder]

Und bei der Passwortverwaltung kannst du Passw?rter auslesen, also am besten immer per Hand eintippen, solange man keinen Keylogger auf dem Rechner hat ist das am sichersten.

[gswkaiser]

Nun, derselbe String wird vom Browser nach dem manuellen Login an den Server geschickt, und taucht somit auch im Log auf!

Da es kein zus?tzliches Sicherheitsrisiko gibt, kann man sich das eben auch vereinfachen.

[smedder]

Originally posted by gswkaiser@Mar 28 2005, 06:40 AM
Nun, derselbe String wird vom Browser nach dem manuellen Login an den Server geschickt, und taucht somit auch im Log auf!

Da es kein zus?tzliches Sicherheitsrisiko gibt, kann man sich das eben auch vereinfachen.

Falsch!

Nur wenn du keine SSL-Verschl?sselung hast ist der String auslesbar, ansonsten wird er verschl?sselt ?bertragen und ist somit auch nicht in den Logs zu finden.

[gswkaiser]

Dann macht man eben ein SSL-Login...

[KALE MX]

Dann macht man eben ein SSL-Login...

Und dann w?re es sicher genug :grml:

MfG
KALE^MX

[smedder]

Nicht, wenn du das Passwort in der Url stehen hast.