Files
praxis-creutzburg-web/intern/index.php
T
clemensandClaude Opus 5 19f1ac7ec8 CSRF-Schutz, Brute-Force-Bremse und wirksame Session-Cookie-Flags
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php.

CSRF
Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt
csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und
csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer
Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt
unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60
bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf
mailtemplate.php schickt das Token als Feld mit.

Session-Cookie-Flags
config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in
admin/ und intern/ riefen session_start() vor dem Include auf, womit die
Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt,
config.inc.php startet die Sitzung nur noch, wenn keine laeuft.
admin/logout.php musste umgestellt werden, weil dort session_destroy()
vor dem Include stand; die Cookies werden jetzt mit denselben Parametern
geloescht, mit denen sie gesetzt wurden.

Brute-Force
Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten
gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle,
laeuft der Login wie bisher - gleiche Vorgehensweise wie bei
securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die
Fehlversuche des Kontos ab.

Passwort vergessen
admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage();
beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die
Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde.

Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne
Token liefert 403, mit Token laeuft der Login normal, der sechste
Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/
SameSite. Oeffentliche Seiten sind unveraendert.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-09-03 14:18:59 +02:00

131 lines
3.8 KiB
PHP

<?php
// Ausgabe puffern: check_intern_user() setzt Cookies und leitet per header() um,
// obwohl das Header-Template weiter unten schon Ausgabe erzeugt hat.
ob_start();
require_once(__DIR__ . "/../inc/config.inc.php");
require_once(__DIR__ . "/../inc/functions.inc.php");
$email_value = isset($_POST["email"]) ? htmlentities($_POST["email"]) : "";
include("templates/header.inc.php");
?>
</header>
<!-- Main -->
<div class="jumbotron">
<div class="container">
<?php
if( is_checked_in_index() ){
$user = check_intern_user();
?>
<h1>Interner Bereich</h1>
<p>Hallo <?php echo htmlentities($user['vorname']); ?>,<br>
Herzlich Willkommen im internen Bereich von <?php echo $organisationsname; ?>!<br><br></p>
<?php
if(!check_mailreg()){
echo "<br><br>";
echo "Es fehlt die Authentifizierung Ihres Kontos per E-Mail! Bitte authentifizieren Sie Ihre E-Mail-Adresse.<br>";
echo "<form action='authmeldung.php' method=POST>";
echo "<input name=aktion type=hidden value=1>";
echo "<input type=submit class='btn btn-primary' value='E-Mail Authentifizierung'><br>";
echo '</form>';
}
if(!check_userdatenvorhanden()){
echo "<br><br>";
echo "Es fehlen noch Informationen in Ihrem Stammdaten. Bitte pflegen Sie die Daten nach, damit <br>";
echo "<form action='settings.php' method=POST>";
echo "<input name=aktion type=hidden value=1>";
echo "<input type=submit class='btn btn-primary' value='Stammdaten pflegen'><br>";
echo '</form>';
}
if(check_mailreg() && check_userdatenvorhanden() ){
?>
<p>Neue Anfragen können Sie über diesen Button einreichen:<br><br></p>
<p><a class="btn btn-primary btn-lg" href="neueanfrage.php" role="button">Neue Anfragen erstellen</a></p><br><br>
<p>Wenn Sie sich für eine Impfung vormerken lassen möchten, können Sie sich hier direkt in die Warteliste eintragen:<br><br></p>
<p><a class="btn btn-primary btn-lg" href="impfwarteliste.php" role="button">Zur Impfwarteliste</a></p><br><br>
<p>Hier können Sie Ihre Anfragen einsehen. Die Antwort erhalten Sie per E-Mail.<br><br></p>
<p><a class="btn btn-primary btn-lg" href="meineanfragen.php" role="button">Meine Anfragen einsehen</a></p><br><br>
<?php
}else{
?>
<?php
}
?>
<?php
}else{
?>
<h1>Interner Bereich</h1>
<p>Nach der Anmeldung können Sie Ihre Anfragen an <?php echo $organisationsname; ?> einsehen oder neue Anfragen erstellen.<br>
Bevor Sie sich anmelden können, müssen Sie sich registieren.<br><br></p>
<form action="login.php" method="post">
<h2 class="form-signin-heading">Login</h2>
<?php
if(isset($error_msg) && !empty($error_msg)) {
echo $error_msg;
}
?>
<label for="inputEmail" class="sr-only">E-Mail</label>
<input type="email" name="email" id="inputEmail" class="form-control" placeholder="E-Mail" value="<?php echo $email_value; ?>" required autofocus>
<label for="inputPassword" class="sr-only">Passwort</label>
<input type="password" name="passwort" id="inputPassword" class="form-control" placeholder="Passwort" required>
<div class="checkbox">
<label>
<input type="checkbox" value="remember-me" name="angemeldet_bleiben" value="1" checked> Angemeldet bleiben
</label>
</div>
<br>
<button class="btn btn-lg btn-primary " type="submit">Login</button>
<br><br>
<a href="passwortvergessen.php">Passwort vergessen</a>
</form>
<br><br><br><br>
<p><a class="btn btn-primary " href="register.php" role="button">Jetzt registrieren</a></p>
<?php
}
?>
</div>
</div>
<?php
include("templates/footer.inc.php")
?>