Area riservata in webSite X5 v9 
Autore: Vito Q.
Visite 2298,
Followers 1,
Condiviso 0
Ho visto che WebSitex5 attraverso l'oggetto gestione accessi, registra i gruppi e gli utenti nel file access.inc.php. Però ho visto che la password è registrata in chiaro. Come è possibile criptarla con WebSite?
Grazie.
Postato il
Sicuro...? Penso che sia visibile solo perchè non è attivo il servizio php, nel servizio hosting del tuo dominio...
E visibile solo per chi ha accesso diretto al file, quindi ftp oppure in caso di mancato supporto al php oppure .....a chi ha "bucato" il sito web. Attenzione all'uso di script dalla provenienza non sicura....ultimamente ne ho trovato uno anche su mrwebmaster.
Autore
Se un amministratore di un data center ha accesso al server, potrà vedere i file presenti in esso e di conseguenza aprendo il file access.inc.php può vedere le password registrate in chiaro.
Ho visto che altri sistemi che non utilizzano DB registrano ugamente gli utenti in un file php, ma le password sono criptate.
Autore
A seguire il contenuto del file access.inc.php dopo che ho censito un nuovo utente.
La password è in chiaro. E' presente qualche parametro di configurazione in WebSitex5 per criptarla?
Grazie.
'crossi' => array(
'id' => 'xs328352',
'name' => 'Carlo Rossi',
'password' => 'carlo',
'page' => 'index.php'
)
No. Non è previsto alcun metodo per crittare i dati.
Autore
Vorrei inserire del codice php che utilizza MD5 prima che WebSitex5 registri la password nel file access.inc.php. Poi vorrei fare l'identica cosa con la password inserita dall'utente in fase di login in modo che WebSitex5 effettui il controllo tra le stringe generate da MD5.
In quali componenti dovrei intervenire?
Grazie
Tutte le procedure sono in x5engine.php ... anche la classe imPrivateArea.
Autore
Ho individuato il punto in cui effettuare il confronto tra la password digitata dall'utente e quella memorizzata nel file access.inc.php. Per simulare il funzionamento ho inserito la password in formato MD5 nel file. Ora resta il problema che quando in WebSitex5 si definisce un utente, non è possibile richiedere il salvataggio delle pasword in formato MD5. Dovrebbe essere un'evoluzione del prodotto.
Grazie