clemensandClaude Opus 5
19f1ac7ec8
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
67 lines
1.8 KiB
PHP
67 lines
1.8 KiB
PHP
<?php
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
//Überprüfe, dass der User eingeloggt ist
|
|
//Der Aufruf von check_user() muss in alle internen Seiten eingebaut sein
|
|
$user = check_admin_user();
|
|
|
|
include("templates/header.inc.php");
|
|
|
|
// check_admin_user() liefert bei fehlender Anmeldung nur null zurueck und
|
|
// bricht nicht ab. Ohne diese Pruefung lief die Seite fuer anonyme
|
|
// Besucher weiter (und $user['vorname'] warf eine Warnung).
|
|
if (!$user) {
|
|
echo "<div class='container main-container'><h3>Erst anmelden: <a href=login.php>Login</a></h3><br></div>";
|
|
include("templates/footer.inc.php");
|
|
exit;
|
|
}
|
|
|
|
?>
|
|
<script src="/admin/js/tinymce/tinymce.min.js" referrerpolicy="origin"></script>
|
|
<div class="container main-container">
|
|
<?php
|
|
##test2
|
|
echo '<div style="float: right; width: 200px; ">';
|
|
echo "<form action='". self_action() . "' id='formbenutzersuche' method=POST>";
|
|
echo '<input type="hidden" name="aktion" value="benutzersuche" />';
|
|
echo '<input type="hidden" name="userid_input" id="userid_input" />';
|
|
echo '<label>Benutzersuche Anfragen:</label>
|
|
<input type="text" id="user_input" name="skill_input" width="48"/>';
|
|
//echo '<input type="submit" class="btn btn-primary" id="submitbox" value="" />';
|
|
echo "</form>";
|
|
echo '</div>';
|
|
?>
|
|
<h2>Administration - Anrufantworter</h2>
|
|
|
|
Hallo <?php echo htmlentities($user['vorname']); ?>,<br>
|
|
Herzlich Willkommen im internen Bereich!<br><br>
|
|
|
|
|
|
|
|
|
|
|
|
<?php
|
|
|
|
if(!check_worker()){
|
|
echo "Dieser Bereich ist nur für Bearbeiter freigeschaltet!<br><br><br>";
|
|
}else{
|
|
|
|
?>
|
|
|
|
|
|
|
|
<a href="file:///P:\Telefonanlage\telefonanlage.html" target="_blank">Übersicht der Anruf auf dem Anrufbeantworter</a>
|
|
|
|
|
|
|
|
|
|
|
|
</div>
|
|
|
|
<?php
|
|
}
|
|
|
|
include("templates/footer.inc.php")
|
|
?>
|