łączenie z mysql

[kamilm14 0]

Witam.

 

 

Jestem w lekkim szoku więc przepraszam z góry za błędy.

 

Trafiłem w sieci na gościa, który w ciągu 2 minut był w stanie zdobyć hasło do bazy danych stronki, którą robiłem, podać mi moje hasła z bazy danych (zakodowane w md5). Następnie wszedł na kolejną stronę, już nie moją, ale na której jestem zarejestrowany i podał mi z niej wszystkie moje dane.

 

I teraz banalne pytanie - jak łączyć się z bazą danych, żeby uniknąć takich sytuacji? Jak stronę skutecznie zabezpieczyć przed takimi trollami? Hasła do bazy danych w jednym pliku, który był includowany do połączenia. Nigdzie indziej ich nie było. Wszystko robione "książkowo", niczym z podręcznika php, a jednak w ciągu 2 minut wszystko przechwycił.

 

 

Uprzedzając pewne komentarze - nie miał jak "odgadnąć" hasła itp.

 

 

 

[Mich@ł 0]

kamilm14, zapewne wchodzi na FTPa (zmieniłeś hasło?) lub w skrypcie masz luki typu sql injection (zabezpieczasz wszystkie zmienne GET i POST?) ew jeszcze w grę wchodzi exploit php (sprawdź czy nie ma żadnych obcych plików php ew czy daty edycji nie są podejrzane)

[kamilm14 0]

obstawiam sql injection. jak zabezpieczać dodatkowo zmienne?

[Mich@ł 0]

http://sekurak.pl/czym-jest-sql-injection/

 

https://www.google.pl/search?q=sql+injection&oq=sql+injection&aqs=chrome..69i57j0l5.454j0j7&sourceid=chrome&espv=210&es_sm=122&ie=UTF-8#q=sql%20injection%20jak%20zabezpieczyc

[jensej 2]

może zamiast łączenia się przez mysql, użyj pdo i bindowania.

[kamilm14 0]

dzięki za odpowiedzi ;p doczytam i pozmieniam wszystko a jakieś pomysły jak mógł dekodować hasła z md5? ;d może oprócz kodowania powinienem stosować jakieś algorytmy podstawieniowe?

Edytowano Kwiecień 8, 2014 przez kamilm14 (zobacz historię edycji)

[wlodziu 49]

Może hasła są tak proste, ze dekodery online je znały?

[McAs 28]

zwykle md5 można zdekodować za pomocą tablicy tęczowej

Edytowano Kwiecień 8, 2014 przez McAs (zobacz historię edycji)

[kamilm14 0]

Hasła z generatora ;p