clemensandClaude Opus 5
19f1ac7ec8
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
87 lines
2.2 KiB
PHP
87 lines
2.2 KiB
PHP
<?php
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
include("templates/header.inc.php");
|
|
?>
|
|
<div class="container small-container-330">
|
|
<h2 >Authentifizierung</h2>
|
|
|
|
|
|
<?php
|
|
$showForm = true;
|
|
|
|
|
|
|
|
if(isset($_GET['send']) ) {
|
|
if(!isset($_SESSION['userid']) && !isset($_GET['userid'])) {
|
|
$error = "<br><b>Fehler bei der Findung des Benutzers. Bitte anmelden und Formular erneut nutzen.</b>";
|
|
} else {
|
|
$statement = $pdo->prepare("SELECT * FROM intern_users WHERE id = :id");
|
|
|
|
if(isset($_SESSION['userid'])){
|
|
$result = $statement->execute(array('id' => $_SESSION['userid']));
|
|
}elseif(isset($_GET['userid'])){
|
|
$result = $statement->execute(array('id' => $_GET['userid']));
|
|
}
|
|
$user = $statement->fetch();
|
|
|
|
if($user === false) {
|
|
$error = "<b>Kein Benutzer gefunden</b>";
|
|
} else {
|
|
|
|
// Codeerzeugung und Mailtext liegen in sendeAuthentifizierungsMail(),
|
|
// damit register.php exakt dieselbe Mail verschickt.
|
|
if(sendeAuthentifizierungsMail($pdo, $user, $organisationsname)) {
|
|
echo "Ein Link, um Ihr Konto per E-Mail zu authentifizieren, wurde an Ihre E-Mail-Adresse gesendet.";
|
|
$showForm = false;
|
|
} else {
|
|
$error = "<b>Die E-Mail konnte gerade nicht versendet werden. Bitte versuchen Sie es später noch einmal.</b>";
|
|
}
|
|
}
|
|
}
|
|
}
|
|
|
|
if($showForm):
|
|
|
|
if(check_mailreg()){
|
|
echo 'Ihr konto ist schon authentifiziert.<br><br>';
|
|
|
|
}else{
|
|
?>
|
|
|
|
<?php
|
|
if(isset($error) && !empty($error)) {
|
|
echo $error;
|
|
}else{
|
|
|
|
|
|
?>
|
|
Klicken Sie auf "E-Mail anfordern", um die Authentifizierung per E-Mail für Ihr Konto zu starten.<br><br>
|
|
|
|
|
|
<form action="?send=1" method="post">
|
|
<input class="btn btn-lg btn-primary btn-block" name="submit" type="submit" value="E-Mail anfordern">
|
|
</form>
|
|
<?php
|
|
}
|
|
}
|
|
endif; //Endif von if($showForm)
|
|
|
|
echo "<br><br>";
|
|
echo "<br><br>";
|
|
echo "<form action='index.php' method=POST>";
|
|
echo "<input name=aktion type=hidden value=1>";
|
|
echo "<input type=submit class='btn btn-primary' value='Zurück'><br>";
|
|
echo '</form>';
|
|
|
|
echo "<br><br>";
|
|
echo "<br><br>";
|
|
echo "<br><br>";
|
|
echo "<br><br>";
|
|
?>
|
|
</div> <!-- /container -->
|
|
|
|
|
|
<?php
|
|
include("templates/footer.inc.php")
|
|
?>
|