Probleme de USER ID avec mon Forum

JohnKerry
Invité n'ayant pas de compte PHPfrance

11 mars 2017, 03:25

Salut a tous,

J'essaye de peaufiner tant bien que mal les normes sécuritaires de mon forum.

Lorsque un nouveau membre s'enregistre, voici ce qui apparait dans la barre d'adresse lorsque ce dernier clique sur son PROFILE

Exemple 1: l'utilisateur MisterBonobo vient de creer son profile .

Voici le lien menant a son profile: http://www........ /forum/index.php?members/misterbonobo.30339/

Exemple 2: l'utilisateur OaklandMaster vient de creer son profile .

Voici le lien menant a son profile: http://www........ /forum/index.php?members/OaklandMaster.30340/

Exemple 3: l'utilisateur guitarhero vient de creer son profile .

Voici le lien menant a son profile: http://www........ /forum/index.php?members/guitarhero.30341/


Auparavant, il suffisait qu'un utilisateur remplace le user_id, ( par exemple le numero 30339 ) par le User_id d'un autre member, par exemple 30450 , SANS MEME AVOIR A CHANGER le nom de ce membre pour avoir access a son profile ( en mode invite bien sur )

Dorenavant, lorsque quelqu'un essaye d'incrementer le user_id sans connaitre le nom de ce membre, il est automatiquement rediriger vers la page d'accueil du forum


Par exemple si via le profile de l'utilisateur MisterBonobo je remplace 30339 par 30340, cela ne fonctionne plus ( et bien heuresement ! )


....oui mes voila, je viens de trouver encre de petit malin qui on reussi a controuner mon systeme et qui arrive JE NE SAIS COMMENT a voir le nom de tous les nouveau membres enregistrer

Commment cela ce fait ?

merci par avance

Mammouth du PHP | 831 Messages

11 mars 2017, 14:45

sans savoir si c'est un forum fait maison ou un script récupéré, on ne peut que faire des hypothèses :
- le petit malin avait sauvé les urls avant le changement
- il y a une page avec des liens vers chaque profil
- les discussions contiennent un lien vers des profils, donc en parcourant assez de sujets, on a beaucoup de liens vers des profils

Avatar de l’utilisateur
Administrateur PHPfrance
Administrateur PHPfrance | 7234 Messages

13 mars 2017, 01:51

Ou alors, encore + simple avec une simple recherche Google :
:arrow: https://www.google.fr/search?q=members+ ... hp?members
....oui mes voila, je viens de trouver encre de petit malin qui on reussi a controuner mon systeme et qui arrive JE NE SAIS COMMENT a voir le nom de tous les nouveau membres enregistrer
Et en plus tu as sur ton site un widget qui liste les derniers membres enregistrés ! Y a pas besoin de contourner quoique ce soit :-D
:arrow: https://www.funarea.fr/forum/index.php?members/
Quand tout le reste a échoué, lisez le mode d'emploi...