Beiträge von Magnus

Zitat von r4lf

Magnus: ich verwende meist einen salted MD5, das ist doch auch unknackbar, oder? wozu dann ein SHA-Hash? Was ist da der Vorteil?

Zitat von Darter

Sobald du es im Salt spricht bsw. noch mit der UserID verbindest bringt dir dies nix.
bsw. so :

PHP

md5(md5(UserID) & Passwort)

Das ist wohl sehr sicher, ob md5 veraltet ist oder nicht

Es kommt immer auf die Geheimhaltung an. Wenn jmd. sein Hashing- und Salzungsverfahren veröffentlicht, und jmd. an die Hashes kommt ist alles knackbar. (Evt. aber mit viel, viel Zeit...)

Zitat von AfterNight

MD5 Decrypter gibt es bei google wie Sand am Meer, so kannst du doch über das PHP Script auch gleich wieder mithilfe dieser Seiten wieder Decrypten

So gennante Rainbow Tables. Aber alle Kennwörter haben die nicht

Zitat von AfterNight

Deine Daten per MD5 verschlüsseln. Dese kannst du in einer Datenbank hinterlegen, und mithilfe von PHP wieder auslesen. Natürlich könntest du entweder eine der vielen Decrypter von MD5 nehmen um an den Ausgangswert heranzukommen, du kannst aber auch mit dem Hash weiterarbeiten.

Mit MD5 kann man Daten nur Hashen. Wenn man etwas Hasht, kann man es nicht zurückrechnen.
Außerdem ist MD5 veraltet. Für Kennwörter sollte man gesalzene SHA-256 Hashes benutzen.

Zitat von chip

Also entweder war das nun ein Scherz von dir, oder du hast schlicht keine Ahnung . Viel Spaß dabei den Hash per Brute-Force mit deinem Rechner zu knacken. Dann bis in ein paar Jahren wenn es geschafft hast.

Das war eher als Scherz gemeint . Um alle Kennwörter mit einer Länge von bis zu 15 Zeichen mit a-zA-Z0-9 und Sonderzeichen durchzuprobieren, müsste man ja über 16.517.952.507.799.249.000.000.000.000 Kennwörter durchprobieren. Bei ca. 5.500.000 Kennwörter/Sekunde (ungefähr, was mein Computer schafft) würde das ca. 3.003.264.092.327.136.181.818 Sekunden dauert, was ca. 95.167.696.286.382 Jahren entspricht.

Aber jetzt wieder zum Spiel: Du verwendest im IFrame des Spieles noch einen IFrame, in dem die Seiten dargestellt werden. Wenn man z.B. auf Wiese klickt, und dann auf Würmer sammeln, wird nur der innerste IFrame aktualisiert. Die Zeitanzeige im oberem IFrame nicht.

Zitat von Buphx

da hat sioch aber wer mühe gemacht
passiert ist nix

Pass auf, was du preisgibst! Wenn das in deinem Spoiler MD5-Hashes sind, könnte ich ja gleich mal ne Brute-Force Attacke starten...

Zitat von Buphx

es gibt keine cookies

Ich habe auch nie geschrieben, dass es welche gibt. Das war allgemein.

Zitat von Buphx

passworter sind als md5 hash gespeichert!

MD5 = veraltet. Es gibt zu viele Kollisionen bei längeren Zeichenketten. (Solange die Kennwörter nicht länger als der erzeugten Hashs sind, sollte es noch sicher sein.)

Zitat von Buphx

das mit iframe ist so gewollt

Was soll dir das bringen?

Zitat von Buphx

Escape: Escape alles, was in Abfragen reinkommt. Vor allem Datenbank abfragen. <-- das hab ich nicht verstanden

Wenn du einen Text escapst, ersetzt du alle Zeichen die im Zielformat als Anweisung interpretiert/bearbeiten werden durch Sonderzeichen. z.B.:

• Du schreibst ein HTML Quellentext. Dabei brauchst du als Text ein "<". Wenn du es jetzt ganz normal schreiben würdest, würde es vom Browser als Tag-Beginn interpretiert werden. Daher musst du "&lt;" schreiben. (Die meisten Browser währen zwar so schlau das zu "überlesen". Aber nicht alle Interpretenten machen dass.)
• Anderes Beispiel: (ich weiß zwar nicht, ob du SQL nutzt, aber trotzdem)
  Folgende SQL-Abfrage. Sie liest aus der Tabelle * Alle Spalten zum User 1 aus.
  
  
  SQL

  SELECT * FROM `*` WHERE`UserID`LIKE 1

  
  Da deine Webseite ein Profil anzeigen soll, und dafür die Daten benötigt, fügst du diese Abfrage in dein Script ein. Anstelle von der 1 fügst du den Schlüssen "UserID" aus der Superglobalen $_GET ein. Wenn ein Angreifer jetzt, anstelle von einem UserID eine andere Zeichenkette übergibt, kann er etwas ganz anderes passieren lassen. In diesem Beispiel wird dem User in der Spalte `Admin` eine 1 gesetzt, wodurch er Admin wird. Die MySQL-Abfrage sieht dann so aus:

  SQL

  SELECT * FROM `*` WHERE `UserID` LIKE 1; UPDATE `*` SET `Admin` = 1 WHERE `sgm_user`.`ID` LIKE 1;

Ich hoffe du hast es jetzt verstanden
Viele Grüße,
Magnus

Hallo,
ich finde grundsätzlich sieht die Seite von Außen recht gut aus. Allerdings ist das Logo ein bisschen groß.
Ein Tutorial fehlt komplett. Was sollen "Sta", "Str", "Dex" und "Int" sein?

Wenn man sich das "von innen" anschaut fällt einem einiges auf:

• Du benutzt Bilder, die durch TAGs verkleinert werden. Dies bringt nur eine größere Ladezeit, und es kommt nichts besseres dabei raus.
  => Bitte verkleiner die Bilder. Auf dauer tut das dem Server auch nur gut...
• Du benutzt Frames. Frames sind koppelt veraltet. (Auch wenn´s ein IFrame ist) Durch sie kann man die Seite nicht neuladen, nicht als Lesezeichen speichern, ...
  Außerdem können dabei leicht Fehler bei programmieren entstehen. Die Lösung mittels target="frame" ist soweit ich weiß auch nicht HTML Konform. Ob das alle Browser kapieren...
• Wenn wir schon bei Konformität sind: 8 Fehler und 7 Warnungen (W3-Validator-Ergebnisse)

Noch ein paar Sicherheits-Tipps:

• Validiere: Validiere alles nicht aus dem Server stammt. Cookies, POST, GET Daten. Alles.
• Verschlüssele: Verschlüssele wichtige/vertrauliche Daten die gespeichert werden. Passwörter sollten Gehascht werden, da diese nicht wieder entschlüsselt werden müssen.
• Escape: Escape alles, was in Abfragen reinkommt. Vor allem Datenbank abfragen. (Du willst doch nicht mit der Injektion gehackt werden ;-))

Viele Grüße
Magnus

PS: Was mir gerade noch auffällt: Der Forums-Link ist ungültig.

Zitat von Sparky

Im Anhang fehlt die config.php
Edit: und deine data.php würd ich auch löschen

Danke Hab wohl die beiden Daten verwechselt.

So. Hier ist jetzt die neue Version:

• Bitte rufe in der Installation (config.php?aktion=install) nochmal die EInstellungen auf. Dort gibt es eine neue Option.
• Bitte in der Datenbank noch per Hand die Programme einfügen. Ansonsten kann man ja keine Scores speichern, die Programmen zugeordnet sind.
• Hier ein Beispiel zur Verwendung der UDF: (evtl. Pfad zur UDF und zum Server ändern)[autoit]#include "udf.au3"
  #include <Array.au3>
  ;~ Hier den Pfad zum Server eintragen
  _ScoreSave_SetURL("http://localhost/higss/")
  $ProgName = "Test"
  MsgBox(0, "", _ScoreSave_Save("Ich", 10, $ProgName))
  $Scores = _ScoreSave_Read($ProgName)
  _ArrayDisplay($Scores)[/autoit] Dieses Script speichert den Score von 10 Punkten vom User "Ich" im Programm "Test" ab und stellt ihn anschließend mit _ArrayDisplay dar.
• Die UDF hat eine neue Funktion: _ScoreSave_SetURL($URL). Mit diesem kann man den Url zum Server festlegen.
• Bitte alle Daten aus dem Ordner in den Server-Ordner verschieben. Die Konfiguration bleibt erhalten.

Ich hoffe das alles Funktioniert und ich nicht´s vergessen habe. Viel Spaß mit der neuen Version.
Magnus

Zitat von Sparky

Das Speichern funktioniert nicht. Ich bekomme False zurück.

Hab ich auch gerade gemerkt. Muss nur noch die Änderungen testen, dann lad ich´s hoch.

Zitat von Sparky

Warum funktioniert das nicht?

Der Fehler liegt in dieser Zeile:

_ScoreSave_Read($test1, $PAGE = 1, $LIMIT = True)

Du musst als 2. und 3. Parameter einfach nur einen Wert eintragen. z.B.:

_ScoreSave_Read($test1, 1, True)

Du kannst diese aber auch ganz weglassen:

_ScoreSave_Read($test1)

Ich werde mir Morgen mal das Gesamte anschauen, und eine Aktualisierte Fassung mit Beispielen rausbringen.

Mfg Magnus

Zitat von SetH

Warum soll das mit nem Marquee eig nich gehn?? rückwärts laufen kann man ihn doch also muss es doch auch möglich sein, ihn erst rückwärts laufen lassen wenn er am rechten balkenrand angekommen ist???

Mann muss ihn nur in die andere Richtung schicken, wenn er ankommt:

Sieht zwar nicht schön aus, aber läuft.

Mit dem Code von Sprenger wird bei mir (32-Bit Win7) auch ein neues Fenster bei öffnen von einen Ordner geöffnet. Kontext-Menü funktioniert.

Zitat von MatthiasG.

Der Abgabetermin ist der 02.02.2010 23:59

Das war ja schon vor 9 Monate, 3 Wochen und 4 Tagen

Es könnte an falschen Datentypen liegen:

Switch ...
case "0"
...
...
EndSwitch

CSS:

img.right {
     position: absolute;
     right: 0px;
     width: 150px;
 }

Zitat von Carsten8

Der Query verläuft soweit ohne das Script abzubrechen. Das Script wird erst danach bei der Fehlerabfrage abgebrochen, soweit ich weiß.

Vor einer eventuellen if, also direkt. (Der Abbruch erfolgt in der DB-Klasse)

Soll das Spiel über JS, AJAX laufen?

Zitat von Carsten8

wie schwer kann das schon sein? Die Zeile steht ja in der Meldung.. Schaun ob der Query fehlgeschlagen ist, wenn ja, dann Tabelle löschen und Query erneut ausführen.

Das geht nicht so, weil bei einem Fehler das gesamte Script abgebrochen wird. Wenn dann müsste man das Fehler-Ausgabe Modul verändern.

Zitat von Ubuntu

Was für ein Konzept

mfg Ubuntu

Wie die Apps aufgerufen werden. Was passiert wenn man ein App aktiviert. Wie oft eine Funktion (Welche?) aufgerufen wird, um das App zu aktualisieren.

Wie lautet euer App-Konzept?