Почему бы логику авторизации на OpenCart дизайн панели администратора, как это (наблюдать странные)?

Почему бы логику авторизации на OpenCart дизайн панели администратора, как это (наблюдать странные)?

08.05.2019 07:06:44 Просмотров 30 Источник

У нас есть множество методов аутентификации и авторизации (OAuth, 2FA и т. д.) для обеспечения безопасности нашего аккаунта на платформе электронной коммерции. Недавно я внимательно посмотрел на логику входа администратора OpenCart 3.0.2.0и попытался понять, почему логика авторизации выглядит так:

  1. Хранение user_token в таблице сеансов в БД (круто)
  2. Хранение протоколированного состояния в памяти PHP (Cool)
  3. Хранение user_token в браузере администратора пользователя (круто)
  4. Дайте срок действия токена до истечения срока действия (Cool)
  5. Продолжайте носить user_token на URL GET переменной везде (???)

Мы могли бы проверить, является ли user_token от пользователя admin допустимым и имеет в нашей таблице сеансов в БД (которая проверяется при входе в систему), затем мы могли бы отслеживать состояние журнала в памяти PHP, также мы можем проверить, истекла ли эта сессия.

Вопрос в следующем: почему нам все еще нужно держать user_token на переменной url get везде?

У вопроса есть решение - Посмотреть?

https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired#comment98737555_56044851
OC-это открытая и бесплатная платформа для электронной коммерции. Таким образом, вы можете бесплатно перепроектировать метод авторизации и даже продать его в opencart marketplace. И все будут счастливы.
https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired#comment98777856_56044851
Есть ли какие-то проблемы с безопасностью, если мы их удалим?

Ответы - Почему бы логику авторизации на OpenCart дизайн панели администратора, как это (наблюдать странные)? / Why would authorization logic on OpenCart Admin Panel design like this (weired)?

Является ответом!
Dmitriy Zhuk

12.05.2019 03:25:16

Переменная user_token была добавлена позже после обсуждения в интернете этого недостатка безопасности.

Идея токена состояла в том, чтобы помешать хакеру отправить пользователю ссылку с вредоносным кодом в url-адресе, который будет использовать аутентифицированный сеанс администратора для взлома панели администратора opencart.

Когда маркер установлен, OpenCart проверяет его и выходит из системы администратора в случае, если маркер неверен.

https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired/56099228#comment98859399_56099228
Спасибо за ваш ответ! Что мне интересно, почему нам нужно не только хранить токен в браузере пользователей и нашем сервере, но и носить переменную HTTP GET везде? Что просто кажется мне не имеющим никакого смысла...запутался!
https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired/56099228#comment98863218_56099228
Потому что хакер может воспользоваться слабостью в коде админки, отправив по электронной почте или через скайп ссылку владельцу магазина opencart (например, вам), который отправляет пароль админки этому хакеру или что-то подобное при нажатии на него. если бы у него не было маркера, администратор нажал бы на эту ссылку, и код был бы запущен. Но так как ссылка требует маркера, маловероятно, что хакер знает этот маркер. это просто мера предосторожности.
https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired/56099228#comment98876258_56099228
Спасибо! Так как же хакер мог отправить мне ссылку на мою админ-панель и записать мой пароль / токен/что-то подобное?
https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired/56099228#comment98906390_56099228
если бы он знал слабость внутри opencart, это могло бы быть вызвано вызовом какого-то метода, скажем yousite.com/admin/index.php?route=folder/somecontroller/somemethod без маркера вы, как администратор, запустили бы этот метод, если бы нажали. Я мог бы отправить вам по электронной почте (поскольку ваши контакты находятся на сайте) ссылку со словами "у вас есть ошибка на этой странице, пожалуйста, проверьте ...... - и передав этот url, вы нажмете на него и вызовете метод, который я ожидал от вас. Конечно, в данный момент я не могу предоставить вам настоящий Хак, так как лично я не фокусируюсь на этом. Но в этом и заключается вся идея жетона. он заблокирует его.
https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired/56099228#comment99356467_56099228
Попался, большое спасибо! Поэтому я могу получить ссылку, скажем, напрямую удалить некоторые заказы или утвердить какой-то недействительный заказ. Я получил вашу точку, apperciate.
https://stackoverflow.com/questions/56044851/why-would-authorization-logic-on-opencart-admin-panel-design-like-this-weired/56099228#comment99383789_56099228
Вот именно! вот что он блокирует.
Закрыть X