clemensandClaude Opus 5
19f1ac7ec8
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
116 lines
3.6 KiB
PHP
116 lines
3.6 KiB
PHP
<?php
|
|
|
|
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
$user = check_admin_user();
|
|
$internUserId = (int)$_SESSION['auth']['id'];
|
|
include("templates/header.inc.php");
|
|
if (!$user) { echo "<div class='container main-container'><h3>Erst anmelden: <a href=login.php>Login</a></h3><br>";
|
|
|
|
include("templates/footer.inc.php");
|
|
exit; }
|
|
?>
|
|
<meta http-equiv="refresh" content = "0;url=anfragen.php">
|
|
</header>
|
|
|
|
<!-- Main -->
|
|
|
|
<div class="container main-container">
|
|
|
|
<?php
|
|
|
|
/*
|
|
global $pdo;
|
|
|
|
$identifier = $_COOKIE['identifier'];
|
|
$securitytoken = $_COOKIE['securitytoken'];
|
|
|
|
$statement = $pdo->prepare("SELECT * FROM securitytokens WHERE identifier = :identifier");
|
|
$result = $statement->execute(array('identifier' => $identifier));
|
|
$securitytoken_row = $statement->fetch();
|
|
echo $securitytoken_row['securitytoken'];
|
|
echo "<br>";
|
|
echo sha1($securitytoken);
|
|
*/
|
|
?>
|
|
<h1>Administration</h1>
|
|
|
|
Hallo <?php echo htmlentities($user['vorname']); ?>,<br>
|
|
Herzlich Willkommen im internen Bereich!<br>
|
|
|
|
<!--
|
|
<p>Hier finden Sie die weiteren Bearbeitungsschritte:<br><br></p>
|
|
<p><a class="btn btn-primary btn-lg" href="anfragen.php" role="button">Bearbeitung der Anfragen</a>  
|
|
<a class="btn btn-primary btn-lg" role="button" href="anfragen.php">Anfragen</a></p>
|
|
<br>
|
|
<p><a class="btn btn-primary btn-lg" role="button" href="../zeiterfassung">Zeiterfassung</a></p>
|
|
<br>
|
|
<p><a class="btn btn-primary btn-lg" href="impfadmin.php" role="button">Impf-Administration</a>   
|
|
<a class="btn btn-primary btn-lg" role="button" href="impfadmin.php">Impfung</a>   
|
|
<a class="btn btn-primary btn-lg" role="button" href="togoadmin.php">togo-Impfung</a></p>
|
|
<br>
|
|
<p><a class="btn btn-primary btn-lg" role="button" href="webseitenadmin.php">Webseiteninhalt ändern</a></p>
|
|
<br><br><br>
|
|
<p><a class="btn btn-primary btn-lg" role="button" href="settings.php">Einstellungen</a></p>
|
|
<p><a class="btn btn-primary btn-lg" role="button" href="logout.php">Logout</a></p>
|
|
-->
|
|
|
|
|
|
|
|
<?php
|
|
|
|
echo '<h4>Welche Aktion möchtest du durchführen?</h4>
|
|
<table width=100%><tr><td width=40%>
|
|
|
|
<form action="'. self_action() .'" method=POST>
|
|
<input type=hidden name=aktion value=1>
|
|
<input type=submit class="btn btn-primary btn-lg" value="Formular-Anfragen bearbeiten">
|
|
</form>
|
|
</td></tr>
|
|
<tr><td><br><br>
|
|
<form action="'. self_action() .'" method=POST>
|
|
<input type=hidden name=aktion value=18>
|
|
<input type=submit class="btn btn-primary" value="Mailvorlagen anlegen">
|
|
</form>
|
|
</td></tr>
|
|
<tr><td><br><br>
|
|
<form action="'. self_action() .'" method=POST>
|
|
<input type=hidden name=aktion value=12>
|
|
<input type=submit class="btn btn-primary" value="Formular Auswertung">
|
|
</form>
|
|
</td></tr>
|
|
<tr><td><br><br>
|
|
<form action="'. self_action() .'" method=POST>
|
|
<input type=hidden name=aktion value=16>
|
|
<input type=submit class="btn btn-primary" value="Mailvorlagen anpassen">
|
|
</form>
|
|
</td></tr><br><br><br><br>
|
|
<tr></tr>
|
|
<tr><td><h3>Urlaub / Hinweis planen</h3></td><td></td></tr>
|
|
<tr><td>
|
|
<form action="'. self_action() .'" method=POST>
|
|
<input type=hidden name=aktion value=4>
|
|
<input type=submit class="btn btn-primary btn-lg" value="Urlaub eintragen">
|
|
</form>
|
|
</td></tr>
|
|
<tr><td><br><br>
|
|
<form action="'. self_action() .'" method=POST>
|
|
<input type=hidden name=aktion value=6>
|
|
<input type=submit class="btn btn-primary" value="Notfallsprechstunde eintragen">
|
|
</form>
|
|
</tr>
|
|
</table>
|
|
<br><br>
|
|
';
|
|
|
|
|
|
|
|
?>
|
|
|
|
</div>
|
|
<?php
|
|
|
|
include("templates/footer.inc.php")
|
|
?>
|