Veränderter Cookie Sperren

hey,
das kommt ganz darauf an, wie der cookie gespeichert wird.
ich benutze dafür meist javascript und die localStorage funktion. in diesem fall kannst du einen wert oder ein array per localStorage.setObj im cache speichern und diesen dann wieder mit localStorage.getObj auslesen. das funktioniert bei ähnlichen funktionen und sprachen vom prinzip her meistens gleich.
das bedeutet, du kannst wert des alten cookies auslesen und mit dem neuen wert vergleichen. wenn diese nicht den/die selben wert/e enthalten kannst du ihn zum beispiel im oben genannten fall per localStorage.removeItem löschen.

okay, dann kannst du doch bevor du ihn speicherst den alten cookie per $_COOKIE['test'] auslesen und checken ob der wert noch "true" ist. falls dies nicht der fall ist soll er gelöscht werden. hier stellt php keine eigene funktion bereit, daher trickst man per setcookie("test", "", time()-3600)

Ich hätte da ne andere Idee. Du machst ein Cookie und darin sind alle Sachen die du für die Webseite brauchst enthalten. Natürlich am Schluss noch verschlüsselt. Dazu erstellst du eine Datenbank und speicherst die mit der User_id ab. Und jedesmal wenn man die Seite aufruft/reloadet, checkt das PHP Script zuerst in der Datenbank nach, ob dieser Cookie original ist und nicht verändert wurde.

So könnte man das checken. In der DB würde ich noch die Userip eintragen, man weiss ja nie...

ich würde dir gerne den code rot kopieren aber das klappt leider nicht wie ich will

jedenfalls sind die datenbankabfrage sowie die schleife ziemlicher schwachsinn, da du keine dynamischen werte in deinen cookies speicherst und cookies sich von selbst überschreiben (schlag mich wenn php ne ausnahme bildet).

nichtsdestotrotz kannst du auch bei neuem seitenaufruf den veränderten cookie löschen statt eventbasiert wie von mir oben beschrieben.
da der code so winzig ist, gibt's auch mal ein beispiel von mir:

if($_COOKIE["uname"] !== "") {
 setcookie("uname", "", time()-48600);
 setcookie("ukey", "", time()-48600);
 setcookie("loggedin", "", time()-48600);
 setcookie("timer", "", time()-48600);
}

der code sollte dann bei jedem seitenaufruf ausgeführt werden und kann per | | noch die anderen cookies checken.
falls du diese abfrage auch ohne einen seitenaufruf ausführen möchtest, würde ich ein batch script, welches diesen kleinen code z.b. stündlich aufruft, empfehlen.

Zitat von TheKnoppers

Hi, ich habe es gemacht. Nur leider Funktioniert es immer noch nicht.

Code

public static function GetInfoSecure()
	{
		$getInfoSecure = mysql_query("SELECT * FROM cookie_check WHERE username = '" . Cleaner::FilterInputString($_COOKIE['uname']) . "' LIMIT 1");
		while($d = mysql_fetch_assoc($getInfoSecure))
		{
			if($d == $_COOKIE['uname'])
			{
			} 
			else
			{
				setcookie("uname", "", time()-48600);
				setcookie("ukey", "", time()-48600);
				setcookie("loggedin", "yes", time()-48600);
				setcookie("timer", time()-48600, time()-48600);
				header("Location: index.php");
				exit;
			}
		}
	}

Alles anzeigen

so habe ich den Code geschrieben und ein DB-Eintrag gemacht. Alles funkt, bis auf dass alle Cookies gelöscht werden, sobald ich ein Cookie bearbeite.

Bitte verwende mysqli_* oder am besten direkt PDO, da mysql_* veraltet ist...
Meine Idee:

Speicher einfach den cookie in der User-Tabelle, erstell hierfür einfach eine Spalte namens "cookie_id" und überprüfe jedes mal wenn die me-Page aufgerufen wird, ob der Cookie vom User mit dem Cookie aus der Datenbank übereinstimmt.
Falls dies nicht der Fall sein sollte, zerstörst du einfach die Session + den jetzigen Cookie.
Mit freundlichen Grüßen

Sessions sind auch hilfreich ...

Zitat von TheKnoppers

Genau das möchte ich ja auch,... will jetzt nicht egoistisch rüber kommen, aber weißt du wie das genau geht?

Ja und man kann es auch in einfachen Schritten erklären...

<?php


$mysqli = new MySQLi("host","user","pw","db");


if(isset($_POST['username'], $_POST['password'])) {
   $user = $mysqli->query("SELECT username, password FROM users WHERE 


   //ah kein bock mehr weiter zu schreiben


   if($user->num_rows > 0) {
      //den teil hast du ja und dann erstellst du hier dein Cookie und speicherst ihn auch in die Tabelle ein
   }
}


me.php


<?php 


//query und überprüfen ob cookie mit dem jetzigen cookie aus der db übereinstimmt falls nicht => session + cookie destroyen

Keine Zeit weiter zu schreiben, bin gerade in einem Ranked Game (LoL)

Du müsstest noch deinen Login umschreiben, dass es wenn die Logindaten richtig sind, ein Cookie erstellt mit dem Namem "test" und den md5() von dem Username.
Ich weis, ist nicht sehr sicher mit username, aber ist nur ein Test. In einem CMS würde das dann mit password_hash() und so gehen...

Hier mal ein beispiel von dem Login

<?php


// db connection
$connection = new PDO('mysql:host=DBHOST;dbname=DBNAME', 'DBUSER', 'DBPASS');


if(isset($_POST['submit'])) {
  $username = filter_var(trim($_POST['username']), FILTER_SANITIZE_STRING);
  $password = filter_var(trim($_POST['password']), FILTER_SANITIZE_STRING);


  // alle felder ausgefüllt?
  if(empty($username) || empty($password)) {
    $err = 'Füll alle Felder aus.'; // wenn nicht -> error
  } else {
    // user passwort "fetchen"
    $query = $connection->prepare('SELECT password FROM users WHERE username = :username LIMIT 1');
    $query->execute(['username' => $username]);


    // wurde der user gefunden?
    if($query->rowCount()) {
      $r = $query->fetchObject(); // wenn ja -> daten "entpacken"


      if(md5($password) !== $r->password) { // passwort richtig?
        $err = 'Ungültiges Passwort.'; // wenn falsch -> error
      } else {
        // wenn richtig -> session mit username erstellen
        // cookie mit verschlüsselten string erstellen
        $_SESSION['user'] = $username;


        setcookie('test', md5($username), time() + (86400 * 30));
        header('Location: me'); // weiterleiten zur me page
      }
    } else {
      $err = 'User wurde nicht gefunden.'; // wenn nicht gefunden -> error
    }
  }
}


?>
<?php if($err) { echo $err; } ?>
<form action="" method="post">
  <input type="text" name="username" placeholder="Username">
  <input type="password" name="password" placeholder="Passwort">
  <input type="submit" name="submit" value="Login">
</form>

Dieser Code ist für das "Validieren" des Cookies. Wenn es nicht gleich ist, wie in der DB, wird der User ausgeloggt, die Session zerstört und das Cookie gelöscht.

<?php


// db connection
$connection = new PDO('mysql:host=DBHOST;dbname=DBNAME', 'DBUSER', 'DBPASS');


// gibt es das cookie "test"?
if(isset($_COOKIE['test'])) {
  // holt das cookie von der db
  $query = $connection->prepare('SELECT cookie FROM users WHERE username = :username LIMIT 1');
  $query->execute(['username' => $_SESSION['user']]);


  // wenn gefunden -> daten "entpacken"
  if($query->rowCount()) {
    $r = $query->fetchObject();


    // gleiche value? wenn nicht -> cookie löschen
    // user ausloggen und zu index.php weiterleiten
    // um erneut einzuloggen
    if($_COOKIE['test'] !== $r->cookie) {
      setcookie('test', null, time() - 3600);
      session_destroy();


      header('Location: index');
    }
  }
} else { // wenn nicht -> index.php weiterleiten und erneut einloggen.
  header('Location: index');
}


?>

Hoffe ich konnte dir helfen.

Cheers,
Apathy.