clemensandClaude Opus 5
19f1ac7ec8
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
98 lines
2.9 KiB
PHP
98 lines
2.9 KiB
PHP
<?php
|
|
|
|
|
|
//Datenbank verbindung
|
|
// Zugangsdaten liegen in inc/credentials.php - nicht in Git.
|
|
// Vorlage: inc/credentials.example.php
|
|
$credentials = __DIR__ . '/credentials.php';
|
|
if (!is_readable($credentials)) {
|
|
error_log('config.inc.php: ' . $credentials . ' fehlt oder ist nicht lesbar');
|
|
http_response_code(500);
|
|
exit('Die Anwendung ist nicht vollständig konfiguriert.');
|
|
}
|
|
require $credentials; // liefert $dbhost, $dbuser, $dbpassword, $dbname
|
|
|
|
require_once __DIR__ . '/security.inc.php';
|
|
|
|
|
|
$organisationsname = "Praxis Creutzburg";
|
|
$organisationsurl = "https://www.praxis-creutzburg.de/";
|
|
|
|
$con = new mysqli($dbhost,$dbuser,$dbpassword,$dbname);
|
|
$con->set_charset('utf8mb4');
|
|
|
|
// SQL Datum festlegen
|
|
$sqltoday = date("Y-m-d");
|
|
$currentDate = new DateTime();
|
|
//Use the subtract function to subtract a DateInterval
|
|
$yesterdayTime = $currentDate->sub(new DateInterval('P1D'));
|
|
//Get yesterday date
|
|
$sqlyesterday = $yesterdayTime->format('Y-m-d');
|
|
$yesterday = $sqlyesterday;
|
|
#$sqlyesterday = date("Y-m-d", strtotime("-1 day", $sqltoday ));
|
|
#$yesterday = Date('Y-m-d', strtotime('-1 day'));
|
|
#$yesteryesterday = Date('Y-m-d', strtotime('-2 days'));
|
|
$yesterdayTime = $currentDate->sub(new DateInterval('P1D'));
|
|
//Get yesterday date
|
|
$yesteryesterday = $yesterdayTime->format('Y-m-d');
|
|
|
|
$pdo = new PDO("mysql:host=$dbhost;dbname=$dbname;charset=utf8mb4", $dbuser, $dbpassword,
|
|
[
|
|
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
|
|
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
|
|
]);
|
|
|
|
|
|
#Laufband
|
|
$ids = [6,7,8,9,10,11];
|
|
|
|
$placeholders = implode(',', array_fill(0, count($ids), '?'));
|
|
$stmt = $pdo->prepare("
|
|
SELECT inhaltid, inhalt
|
|
FROM webseiteninhalt
|
|
WHERE inhaltid IN ($placeholders)
|
|
");
|
|
$stmt->execute($ids);
|
|
|
|
$laufband = [];
|
|
|
|
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
|
|
$laufband[$row['inhaltid']] = strip_tags($row['inhalt']);
|
|
}
|
|
|
|
// Zugriff:
|
|
$Laufband1 = $laufband[6] ?? '';
|
|
$Laufband2 = $laufband[7] ?? '';
|
|
$Laufband3 = $laufband[8] ?? '';
|
|
$Laufband4 = $laufband[9] ?? '';
|
|
$Laufband5 = $laufband[10] ?? '';
|
|
$Laufband6 = $laufband[11] ?? '';
|
|
|
|
|
|
session_set_cookie_params([
|
|
'lifetime' => 60*60*24*30,
|
|
'path' => '/',
|
|
'secure' => true, // nur wenn HTTPS (sollte bei dir so sein)
|
|
'httponly' => true,
|
|
'samesite' => 'Lax',
|
|
]);
|
|
|
|
ini_set('session.use_strict_mode', '1');
|
|
ini_set('session.cookie_secure', '1'); // bei HTTPS
|
|
ini_set('session.cookie_httponly', '1');
|
|
|
|
if (session_status() !== PHP_SESSION_ACTIVE) {
|
|
session_start();
|
|
}
|
|
|
|
// CSRF-Schutz im Adminbereich: Token in jedes POST-Formular einsetzen und
|
|
// eingehende POSTs pruefen. Muss nach session_start() und vor jeder
|
|
// Ausgabe der Seite laufen.
|
|
$adminVerzeichnis = realpath(__DIR__ . '/../admin');
|
|
$laufendesSkript = realpath($_SERVER['SCRIPT_FILENAME'] ?? '');
|
|
if ($adminVerzeichnis !== false && $laufendesSkript !== false
|
|
&& strncmp($laufendesSkript, $adminVerzeichnis . DIRECTORY_SEPARATOR, strlen($adminVerzeichnis) + 1) === 0) {
|
|
csrf_autoinject();
|
|
csrf_require();
|
|
}
|