Koroth

Till att börja med är sidan vidöppen för CSRF attacker. Tänk om någon skulle lura in dig på en sida med till exempel följande innehåll:

<form action="http://koroth.se/settings_private.php" method="POST">
<input type="hidden" name="user" value="edgren">
<input type="hidden" name="pass2" value="nytt_losenord">
<input type="hidden" name="email" value="erik@edgren.nu">
<input type="hidden" name="show_email" value="1">
<input type="submit" name="save" class="button" value="Spara">
</form>

Med ett javascript som automatiskt skickar iväg form:en.

För det andra så har du html injection problem till exempel så escape:ar du inte " i userfältet på http://koroth.se/settings_private.php. Jag är inte säker på om detta är exploitable men det är iallafall inte bra.

Det första är svårt! För att verkligen lösa det måste du skicka med en hemlig nyckel som ett hidden fält i varje form. Detta tar naturligtvis lite tid att fixa, så länge kan du helt enkelt be om det gamla lösenordet när man byter lösenord eller email.

Det andra problemet är lätt det är bara att köra namnet genom htmlspecialchars, men det har du ju gjort på andra ställen så jag antar att du vet.

Det största problemet du har är väll dock att dessa buggarna hittade jag efter ca 5 min letande. Med största sannolikhet finns det fler liknande...

Ja, den behöver vara unik för varje användare. Om du vill kan du ta dig en titt på fluxbb, beta 1.3. Dom genererar helt enkelt en slumpmässig sträng varje gång någon registrerar sig och sparar den i db:n. Sedan skickas den med i varje form och valideras i de skript som tar emot formdatan.

mysql_real_escape_string(stripslashes($_POST['user']))

Det beror lite på. Jag tycker det enklaste är att köra datan genom de olika funktionerna precis då det behövs. Så mitt förslag är:
[list="1"]
[*]Varje gång du tar emot data, kolla om magic_quotes är på. Om det är det kör stripslashes på den.
[*]Precis innan du ska skicka data till databasen, kör den genom mysql_real_escape_string.
[*]Precis innan du ska skriva data till användaren (echo), kör den genom htmlspecialchars().
[/list=1]

Jag tycker det är lite fult att bara köra htmlspecialchars på allt. Tänk om någon använder till exempel '<' i sitt lösenord. Då kommer han inte längre kunna logga in om man kört htmlspecialchars på det innan man sparar det i db:n. Klart att det går att arbeta runt sånt där men det korrekta sättet att göra det på tror jag är att använda varje funktion precis då den behövs.