clemensandClaude Opus 5
19f1ac7ec8
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
99 lines
3.3 KiB
PHP
99 lines
3.3 KiB
PHP
<?php
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
if(!isset($_GET['userid']) || !isset($_GET['code'])) {
|
|
error("Leider wurde beim Aufruf dieser Website kein Code zum Zurücksetzen deines Passworts übermittelt");
|
|
}
|
|
|
|
|
|
|
|
$showForm = true;
|
|
$userid = $_GET['userid'];
|
|
$code = $_GET['code'];
|
|
|
|
//Abfrage des Nutzers.
|
|
//Die Gueltigkeit des Codes wird bewusst in SQL geprueft: passwortcode_time wird
|
|
//in passwortvergessen.php mit NOW() gesetzt, also mit der Uhr des DB-Servers.
|
|
//Der Webserver laeuft in UTC, der DB-Server in Europe/Berlin - eine Pruefung mit
|
|
//PHPs strtotime()/time() waere um genau diese Differenz falsch. So benutzen
|
|
//Setzen und Pruefen dieselbe Uhr, unabhaengig von den Zeitzonen beider Server.
|
|
$statement = $pdo->prepare("
|
|
SELECT *,
|
|
(passwortcode_time IS NOT NULL
|
|
AND passwortcode_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)) AS code_noch_gueltig
|
|
FROM intern_users
|
|
WHERE id = :userid
|
|
");
|
|
$result = $statement->execute(array('userid' => $userid));
|
|
$user = $statement->fetch();
|
|
|
|
//Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Passwortcode hat
|
|
//(fetch() liefert false, nicht null, wenn es keinen Treffer gibt)
|
|
if(!$user || $user['passwortcode'] === null) {
|
|
error("Der Benutzer wurde nicht gefunden oder hat kein neues Passwort angefordert.");
|
|
}
|
|
|
|
if(!$user['code_noch_gueltig']) {
|
|
error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut.");
|
|
}
|
|
|
|
|
|
//Überprüfe den Passwortcode
|
|
if(hash('xxh128', $code) != $user['passwortcode']) {
|
|
error("Der übergebene Code war ungültig. Stell sicher, dass du den genauen Link in der URL aufgerufen hast. Solltest du mehrmals die Passwort-vergessen Funktion genutzt haben, so ruf den Link in der neuesten E-Mail auf.");
|
|
}
|
|
|
|
//Der Code war korrekt, der Nutzer darf ein neues Passwort eingeben
|
|
|
|
if(isset($_GET['send'])) {
|
|
$passwort = $_POST['passwort'];
|
|
$passwort2 = $_POST['passwort2'];
|
|
|
|
if($passwort != $passwort2) {
|
|
$msg = "Bitte identische Passwörter eingeben";
|
|
} else { //Speichere neues Passwort und lösche den Code
|
|
$passworthash = password_hash($passwort, PASSWORD_DEFAULT);
|
|
$statement = $pdo->prepare("UPDATE intern_users SET passwort = :passworthash, passwortcode = NULL, passwortcode_time = NULL WHERE id = :userid");
|
|
$result = $statement->execute(array('passworthash' => $passworthash, 'userid'=> $userid ));
|
|
|
|
if($result) {
|
|
$msg = "Dein Passwort wurde erfolgreich geändert";
|
|
$showForm = false;
|
|
}
|
|
}
|
|
}
|
|
|
|
include("templates/header.inc.php");
|
|
?>
|
|
|
|
<div class="container small-container-500">
|
|
|
|
<h1>Neues Passwort vergeben</h1>
|
|
<?php
|
|
if(isset($msg)) {
|
|
echo $msg;
|
|
}
|
|
|
|
if($showForm):
|
|
?>
|
|
|
|
<form action="?send=1&userid=<?php echo htmlentities($userid); ?>&code=<?php echo htmlentities($code); ?>" method="post">
|
|
<label for="passwort">Bitte gib ein neues Passwort ein:</label><br>
|
|
<input type="password" id="passwort" name="passwort" class="form-control" required><br>
|
|
|
|
<label for="passwort2">Passwort erneut eingeben:</label><br>
|
|
<input type="password" id="passwort2" name="passwort2" class="form-control" required><br>
|
|
|
|
<input type="submit" value="Passwort speichern" class="btn btn-lg btn-primary btn-block">
|
|
</form>
|
|
<?php
|
|
endif;
|
|
?>
|
|
|
|
</div> <!-- /container -->
|
|
|
|
|
|
<?php
|
|
include("templates/footer.inc.php")
|
|
?>
|