Не опасен, но и не нужно.

фишка вот в чем - это скрипт востановления, Login и Password просто сохранены в некоторый файл. В случае чего админ может так залогинется в системе минуя базу данных и обратившись к скрипту.

Но не может ли злоумышленник подсунуть в GET запросе, что-то что позволит пройти проверку? Не знаю, что-то типа eval('?>'.${Login})

Нет, все что сохраняется в переменных - остается переменными, какой бы это текст нибыл. Если ты сделаешь eval($_REQUEST['data']), то да, но без eval'а это всего-лишь строка, которая не интерпретируется в код.

Login и Password просто сохранены в некоторый файл.

Обязательно сделай так, чтобы этот файл не был виден пользователю, от которого запускается веб-сервер.

Не храни пароль в не зашифрованном виде.

Да, и в md5 тоже не храни.

Ни один из моих паролей этот сайт не угадал

Бесплатным пользовались? В бесплатном только пароли до 4 символов.

До 8 символов полным перебором подбирается любая комбинация на домашнем компе, до 9 в облаке. Дальше есть гибридная атака по словарю, оченннама мошная. Длина значения не имеет. Поэтому пасс из 10+ символов полностью random (а не nbgfnfr) является достаточно надёжным вариантом для использования с md5. Если добавить соли, нагенеренные заранее радужные таблицы станут бесполезны.

Точнее: Online Service для некоторых видов хэшей бесплатен. Оплата не взимается для md5 следующих комбинаций:

1. Длина до 5 символов. Комбинации: [0-9a-zA-Z]
2. Длина до 6 символов. Комбинации: [a-z]
3. Длина до 8 символов. Комбинации: [0-9]

У меня один из пассов содержит только a-z и состоит из 12 символов, другой a-zA-Z0-9 и состоит из 16

А чего это ты так пиаришь этот сервис?

З.Ы. 'ololo' ему сломать не удалось.

А чего это ты так пиаришь этот сервис?

Не пиарю, а сообщаю, что мд5 не надежна, и существуют тисячи подобных сервисов, в обычных (не сложных) случаях, хакеру ваш пароль обойдется в пару центов.

Лжешь, только что сломал.

Не лгу, я '\n' забыл подавить. Да и не ломают они, а просто держат базу со значениями.

Да и не ломают они, а просто держат базу со значениями.

О чем и пишут в шапке, для тех кто читать умеет.

тогда бы пришлось каждый иф экранировать)

$paranoia['members']++

http://citforum.ru/internet/php/register_globals/

Если у тебя register_globals выключен можешь не паниковать.

Обязательно сделай так, чтобы этот файл не был виден пользователю, от которого запускается веб-сервер.

И как же тогда сервер его прочитает? Может сделать так, что бы сервер не могу его переписать и отдавать наружу?

Login и Password просто сохранены в некоторый файл

всегда нравились такие приколы с неизвестно кем поддерживаемыми файлами :)

<?php
require_once('LoginPassword.php');

$_REQUEST=array(
	"login" => $Login,
	"password" => $Password
);

if ($_REQUEST["login"] == $Login && $_REQUEST["password"] == $Password) {
	echo "Yeep\n";
} else {
	echo "WTF?\n";
	echo "\$Login and \$_REQUEST['login']       " . (strcmp($Login,$_REQUEST['login'])==0?"identical":"not identical") . "\n";
	echo "\$Password and \$_REQUEST['password'] " . (strcmp($Password,$_REQUEST['password'])==0?"identical":"not identical") . "\n";
}

$ php ./yeep.php Login Password
WTF?
$Login and $_REQUEST['login']       identical
$Password and $_REQUEST['password'] identical

Обязательно сделай так, чтобы этот файл не был виден пользователю, от которого запускается веб-сервер.

лолшто?

man chmod -r `dirname /path/to/passwd.file`

Не понял в чем тут прикол... Поясни пожалуйста.

$paranoia['members']++

И как оно ещё не переполнилось?

кто здесь?!

а, и в md5 тоже не храни.

Чушь. Узнай про соль.

+ возрастающую задержку логина

Прекрасно сломало.. Из MD5.. З.Ы. Прочие варианты шифрования не пробовал - лень

64 бита же

Потом php его не прочитает

Пых настолько кривой? Ужас ужас

Ах вот откуда пошло мнение, что пых кривой)))

Я вот не пойму, это «да, согласен, кривой», или «да вы что! так криво все делают, пацаны в тренде»?

Нет, это «нет, ты не понимаешь даже в чем дело». Ну ладно

Обязательно сделай так, чтобы этот файл не был виден пользователю, от которого запускается веб-сервер

man chmod -r `dirname /path/to/passwd.file`

Хинт: от какого пользователя будет запущен php?

Suntechnic

Не опасен ли такой код?
Или лучше добавить проверку на какие-нибудь специальные символы в переменных?

if ($_REQUEST["login"] == $Login && $_REQUEST["password"] == $Password)

Сам по себе такой код не опасен, т.к. интерпретатор PHP лишь выполнит оценку значения логического выражения:

$_REQUEST["login"] == $Login && $_REQUEST["password"] == $Password

Результат такой оценки - True, либо False.
Опасность может возникнуть в случае передачи элементов $_REQUEST[«login»], $_REQUEST[«password»] библиотечной функции, методу класса с целью обработки.
Пример такого случая - направление запроса в адрес СУБД MySQL.

Кстати, для твоей задачи проверять факт наличия элементов 'login' и 'password' в массиве $_REQUEST не требуется?

if (!isset($_REQUEST["login"], $_REQUEST["password"])) die("Скрипту необходимо передать набор параметров!");
if ($_REQUEST["login"] == $Login && $_REQUEST["password"] == $Password) ...

Опасность может возникнуть в случае передачи элементов $_REQUEST[«login»], $_REQUEST[«password»] библиотечной функции, методу класса с целью обработки.

Такой ситуации не будет. Далее используются $Login и $Password. Меня интересовало не получится ли получить TRUE без знания содержимого $Login и $Password

Кстати, для твоей задачи проверять факт наличия элементов 'login' и 'password' в массиве $_REQUEST не требуется?

Конечно требуется. Я просто упростил приводимое выражение. ;)

Может, стоит использовать оператор сравнения "===" вместо "==" ?

Suntechnic

Меня интересовало не получится ли получить TRUE без знания содержимого $Login и $Password

alex@comp:~$ cat auth.php

<?php
$ARRAY["login"] = 0;
$ARRAY["password"] = 123;

$Login = "SuperPuperUser";
$Password = "123ab";

if ($ARRAY["login"] == $Login && $ARRAY["password"] == $Password)
  echo "Аутентификация успешная!\n";
else
  echo "Доступ запрещен!\n";
?>

alex@comp:~$ php auth.php
Аутентификация успешная!

Считаю, что получить TRUE без знания содержимого $Login и $Password не удастся, если к условию применить оператор «строгое равенство с учетом типа аргументов».
Пример:

alex@comp:~$ cat auth.php

<?php
$ARRAY["login"] = 0;
$ARRAY["password"] = 123;

$Login = "SuperPuperUser";
$Password = "123ab";

if ($ARRAY["login"] === $Login && $ARRAY["password"] === $Password)
  echo "Аутентификация успешная!\n";
else
  echo "Доступ запрещен!\n";
?>

alex@comp:~$ php auth.php
Доступ запрещен!

лучше так

if ($_POST['login']==$Login && sha1($_POST['password'])==$Password)

Пасс хранить в sha1. В GET-параметрах передавать логин и пасс недопустимо так как они пишутся в access.log

Хинт: от какого пользователя будет запущен php?

Неужели от рута? В иных случаях вопрос можно считать риторическим.

~> mkdir /tmp/testtest
~> echo ololo > /tmp/testtest/test.txt
~> chmod -r /tmp/testtest
~> ls -la /tmp/testtest
ls: невозможно открыть каталог /tmp/testtest: Отказано в доступе
~> cat /tmp/testtest/test.txt
ololo
~>

Скажешь, в параллельной консоли между предпоследним и последним действием подделал результаты?

Однако, пых в этом отношении делает по-пацански:

~> php -r 'print(file_get_contents("/tmp/testtest/test.txt"));'
ololo

А, в этом плане «не виден»? Дурацкая защита) Намного лучше хранить хеш пароля.