PHP in CGI Script (Perl/CGI) - Perl-Community.de

[thread]17322[/thread]

PHP in CGI Script

Tags: perl5 CGI Ähnliche Threads

Leser: 14

Articles: hide open all | hide show old branches

+5 replies
Gast Sebastian

2012-04-15 18:30
Hallo zusammen,

ich habe ein CGI/Perl Script, welches nur ausgeführt werden darf wenn der User auf der Webseite (HTML/PHP) eingeloggt ist. Für meine anderen PHP Scripte habe ich das zwar realisiert, da ich aber keinerlei Ahnung von Perl habe, weiß ich nicht wie ich das realisieren kann.

Das ist mein PHP Code, wäre der relativ einfach umzusetzen in Perl?
Code: (dl )

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24

<?php mysql_connect("mysql.webhosting","benutzer","pass"); mysql_select_db("datenbank"); $session_id = $_COOKIE["sid"]; $query = "SELECT guest FROM session WHERE session_id='$session_id'"; $mysqlabfrage = mysql_query($query); while($row = mysql_fetch_object($mysqlabfrage)) { $guest = $row->guest; } if(ISSET($guest) && $guest == '0') { #Gast = 0 = eingeloggt / Script soll weiter ausgeführt werden exit(); } if(!ISSET($guest) OR $guest == '1') echo "<meta http-equiv='refresh' content='0; URL=URL'>"; #Weiterleitung auf Login wenn nicht eingeloggt ?>
Gruß Sebastian
Last edited: 2012-04-15 18:33:26 +0200 (CEST)
- +3 replies
- pq
  
  2012-04-15 18:44
  User since
  2003-08-04
  12208 Artikel
  Admin1
  also zunächst mal ein hinweis auf sql-injections:
  http://bobby-tables.com/
  
  soweit ich das sehe, kann man bei deinem php-code mit einer manipulierten session id ein login vortäuschen. auf der seite oben steht, wie man das verhindert (in perl und php).
  
  zu DBI in perl gibt es hier ein kleines tutorial:
  http://perloo.de/DBI/
  
  allgemeine tutorials gibt es hier: http://perl-tutorial.org/
  
  hier mal ein anfang:
  
  Code (perl): (dl )
  
  1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18
  
  use DBI; use CGI::Cookie; my $dbh = DBI->connect("dbi:mysql:host=...;database=datenbank", "benutzer","pass"); my %cookies = fetch CGI::Cookie; my $session_id = $cookies{sid}->value; unless ($session_id) { ... } my $query = "SELECT guest FROM session WHERE session_id=?"; my $sth = $dbh->prepare($query); $sth->execute($session_id); my $row = $sth->fetchrow_hashref; if ($row) { # $session_id vorhanden my $guest = $row->{guest}; ...
  
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - +2 replies
  - Gast wer
    
    2012-04-15 19:47
    
    Alles was in $session_id steh muss ist ' OR '1'='1 siehe dazu http://en.wikipedia.org/wiki/SQL_injection
    - pq
      
      2012-04-15 20:00
      
      User since
      2003-08-04
      12208 Artikel
      Admin1
      
      dann aber noch ein AND guest=0 hinzufügen, damit man auch garantiert eine user-session erwischt.
      Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
      lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
- rosti
  
  2012-04-15 18:54
  
  User since
  2011-03-19
  3472 Artikel
  BenutzerIn
  
  Quote
  Das ist mein PHP Code, wäre der relativ einfach umzusetzen in Perl?
  
  So wie das da steht, würde ich das nicht umsetzen. Ich habe gute Erfahrungen damit gemacht, die Session an sich von Login-Prozessen strikt zu trennen.
  
  Das mach den Code übersichtlicher, einfacher und erweiterbar.
  
  http://rolfrost.de/map/pf3/session
  
  --Rosti

View all threads created 2012-04-15 18:30.