Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
119 lines
3.7 KiB
PHP
119 lines
3.7 KiB
PHP
<?php
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
//Überprüfe, dass der User eingeloggt ist
|
|
//Der Aufruf von check_user() muss in alle internen Seiten eingebaut sein
|
|
$user = check_admin_user();
|
|
|
|
include("templates/header.inc.php");
|
|
|
|
// check_admin_user() liefert bei fehlender Anmeldung nur null zurueck und
|
|
// bricht nicht ab. Ohne diese Pruefung lief die Seite fuer anonyme
|
|
// Besucher weiter (und $user['vorname'] warf eine Warnung).
|
|
if (!$user) {
|
|
echo "<div class='container main-container'><h3>Erst anmelden: <a href=login.php>Login</a></h3><br></div>";
|
|
include("templates/footer.inc.php");
|
|
exit;
|
|
}
|
|
|
|
echo '<div class="container main-container">';
|
|
|
|
function build_calendar($month, $year) {
|
|
$daysOfWeek = array('M','T','W','T','F','S','S');
|
|
$firstDayOfMonth = mktime(0,0,0,$month,1,$year);
|
|
$numberDays = date('t',$firstDayOfMonth);
|
|
$dateComponents = getdate($firstDayOfMonth);
|
|
$monthName = $dateComponents['month'];
|
|
$dayOfWeek = $dateComponents['wday'] -1;
|
|
$calendar = "<table class='calendar table table-condensed table-bordered' >";
|
|
$calendar .= "<caption><h3>$monthName $year</h3></caption>";
|
|
$calendar .= "<tr>";
|
|
foreach($daysOfWeek as $day) {
|
|
$calendar .= "<th class='header'>$day</th>";
|
|
}
|
|
$currentDay = 1;
|
|
$calendar .= "</tr><tr>";
|
|
if ($dayOfWeek > 0) {
|
|
$calendar .= "<td colspan='$dayOfWeek'> </td>";
|
|
}
|
|
$month = str_pad($month, 2, "0", STR_PAD_LEFT);
|
|
while($currentDay <= $numberDays){
|
|
if($dayOfWeek == 7){
|
|
$dayOfWeek = 0;
|
|
$calendar .= "</tr><tr>";
|
|
}
|
|
$currentDayRel = str_pad($currentDay, 2, "0", STR_PAD_LEFT);
|
|
$date = "$year-$month-$currentDayRel";
|
|
|
|
// Is this today?
|
|
if(date('Y-m-d') == $date) {
|
|
$calendar .= "<td class='day success' rel='$date' onClick='submitForm('".$date ."')'><b>$currentDay</b>";
|
|
|
|
} else {
|
|
$calendar .= "<td class='day' rel='$date' onClick='submitForm(\"".$date ."\")'>$currentDay";
|
|
|
|
}
|
|
$calendar .= "<form action='". self_action() . "' name='".$date ."' method=POST><input type=hidden name=searchdate value='". $date. "'><input type=hidden name=aktion value='4'></form>";
|
|
$calendar .= AuswertungImpfungdailycalendar($date);
|
|
$calendar .= "</td>";
|
|
|
|
$currentDay++;
|
|
$dayOfWeek++;
|
|
}
|
|
if($dayOfWeek != 7){
|
|
$remainingDays = 7 - $dayOfWeek;
|
|
$calendar .= "<td colspan='$remainingDays'> </td>";
|
|
}
|
|
$calendar .= "</tr>";
|
|
$calendar .= "</table>";
|
|
return $calendar;
|
|
}
|
|
|
|
$calendar = build_calendar(7, 2021);
|
|
|
|
//$calendar = '<div style="width:200px">' . $calendar . '</div>';
|
|
|
|
$calendar .= '<style type="text/css">table tbody tr td, table tbody tr th { text-align: center; }</style>';
|
|
|
|
|
|
$calendar .= '<script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.1/jquery.min.js"></script>';
|
|
$calendar .= "<script>function submitForm(sub) {
|
|
result = $.ajax({
|
|
type: 'POST',
|
|
async: false,
|
|
url: 'impfadmin.php',
|
|
data: ({
|
|
aktion: 4,
|
|
searchdate: sub
|
|
})
|
|
}).responseText;
|
|
//window.location.reload(false);
|
|
document.body.innerHTML = result;
|
|
}</script>";
|
|
|
|
/*
|
|
$calendar .= "<script>function submitForm(sub) {
|
|
// Form fields, see IDs above
|
|
const params = {
|
|
aktion: 4
|
|
}
|
|
|
|
const http = new XMLHttpRequest()
|
|
http.open('POST', 'impfadmin.php')
|
|
http.setRequestHeader('Content-type', 'application/json')
|
|
http.send(JSON.stringify(params)) // Make sure to stringify
|
|
http.onload = function() {
|
|
// Do whatever with response
|
|
//alert(sub)
|
|
document.body.innerHTML = http.responseText;
|
|
}
|
|
}</script>";
|
|
*/
|
|
print $calendar;
|
|
|
|
|
|
|
|
include_once('footer.php');
|
|
|
|
?>
|