Gepost op Dinsdag 07 Maart 2006 om 17:15
Posts: 6
1. passmailer.php
Er is geen restrictie op hoe vaak een user een paswoord kan resetten. In theorie zou iemand iemand anders behoorlijk kunnen irriteren door om de 0.01 seconden een paswoord reset te doen. Oplossing zou zijn dat een bepaald IP maar eens per 24 uur een password reset mag doen.
2. inloggen.php
Hier word een session hash gedingest: $login_hash = md5( $_SERVER['REMOTE_ADDR'].$_POST['nickname'].rand(0, 9999) );
Dit verteld me dat als een hacker iemand's nickname plus IP adres weet, hij maar met brute force max 10000 keer een Session hash hoeft te proberen, voordat die eventueel een sessie kan overnemen. Oplossing; maak 't meer willekeurig; gebruik bv time() in de hash. 10000 keer lijkt veel; maar in practijk met een snelle verbinding, zou dat maar een paar uur duren.
3. inloggen.php
Met brute force kan (zeker na een paswoord reset waar een paswoord van 6 chars word gegenereerd) iemand's paswoord gekraakt worden. Eigenlijk zou 't mss. handig zijn als iemand na 3 keer een foutief paswoord in te vullen, dat IP tijdelijk gebanned word oid.
En tja, met brute force kom je overal wel doorheen.. Ik zal sowieso de 6 karakters uitbreiden naar 10.
