Come impostare la verifica dell'email utente dopo la registrazione?

Ragazzi, penso che il metodo sopra menzionato introduca vulnerabilità di sicurezza che non dovrebbero esserci.

L'obiettivo principale della verifica email è assicurarci che le persone che si registrano forniscano un indirizzo email reale di cui sono proprietari o almeno a cui hanno accesso. Non vogliamo che le persone si registrino con, diciamo, un indirizzo email casuale di proprietà di qualcun altro, per esempio il vostro indirizzo email.

Il codice sopra presenta vulnerabilità che potrebbero permettere a un hacker di registrare un indirizzo email casuale di proprietà di qualcun altro e poi forzare abbastanza facilmente i valori $user_id e $code nella pagina di verifica email.

1a vulnerabilità

State usando $user_id. So che questo valore potrebbe essere qualsiasi cosa, ma tipicamente sarà un intero, specialmente se usate WordPress, che è circa il 30% dei siti internet, e guardando il codice PHP sopra, è effettivamente basato su WordPress. L'hacker riceve il suo $user_id come parte del processo di registrazione oppure lo indovina tramite brute force, semplicemente procedendo in sequenza partendo dal numero 1 e continuando con 2, 3, 4, 5, 6... Indovinerà il suo $user_id in meno di un giorno, forse anche in meno di un'ora se il vostro sito non ha molti membri.

2a vulnerabilità

State creando un $code usando la funzione di hash MD5 e l'ora di registrazione. L'hacker sa a che ora si è registrato. Diciamo che l'hacker si registra alle 15:00. Ora tutto ciò che deve fare è fare l'hash MD5 degli orari dalle 14:55 alle 15:05 e forzerà il $code in meno di un'ora.

Considerando quanto sopra, l'hacker può semplicemente forzare $user_id e $code in meno di un giorno e verificare un indirizzo email di cui non è proprietario

tsk tsk tsk

Un approccio migliore sarebbe generare un $code con la funzione rand() usando maiuscole (A-Z), minuscole (a-z), numeri (0-9) e caratteri speciali es. (!&#). Quella funzione di hash MD5 usa solo numeri 0-9 e lettere minuscole a-f e il modo in cui la state usando, basandovi sull'ora di registrazione, lo rende incredibilmente facile da restringere e attaccare con brute force.

Ho scritto il seguente codice PHP per generare un $code casuale con Lettere Maiuscole/Minuscole/Interi/Caratteri Speciali. Non rendetela così facile per gli hacker, ragazzi.

function generateRandomString($stringLength){
    //specifica i caratteri da usare per generare la stringa casuale, non includere caratteri che WordPress non permette nella creazione
    $characters = "0123456789ABCDEFGHIJKLMNPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz_[]{}!@$%^*().,>=-;|:?";

    //ottieni la lunghezza totale dei caratteri specificati da usare per generare la stringa casuale
    $charactersLength = strlen($characters);

    //dichiara una stringa che useremo per creare la stringa casuale
    $randomString = '';

    for ($i = 0; $i < $stringLength; $i++) {
        //genera caratteri casuali
        $randomCharacter = $characters[rand(0, $charactersLength - 1)];
        //aggiungi i caratteri casuali alla stringa casuale
        $randomString .=  $randomCharacter;
    };

    //sanitize_user, per sicurezza
    $sanRandomString = sanitize_user($randomString);

    //controlla che la stringa casuale contenga Maiuscole/Minuscole/Interi/Caratteri Speciali e che abbia la lunghezza corretta
    if ( (preg_match('([a-zA-Z].*[0-9]|[0-9].*[a-zA-Z].*[_\W])', $sanRandomString)==1) && (strlen($sanRandomString)==$stringLength) )
    {
        //restituisce la stringa casuale se soddisfa i criteri di complessità
        return $sanRandomString;
    } else {
        //se la stringa casuale non soddisfa i criteri minimi, richiama la funzione
        return call_user_func("generateRandomString",($stringLength) );
    }
}//fine della funzione generateRandomString

//chiama la funzione per generare una stringa casuale con Lettere Maiuscole/Minuscole/Interi/Caratteri Speciali
//nella funzione passiamo la lunghezza della stringa richiesta, in questo esempio genererà una stringa di 32 caratteri
$code = generateRandomString(32);

echo $code;