|
|
主题: 真险？User Authentication中的漏洞？
|
winpos
职务：普通成员
等级：1
金币：0.0
发贴：41
注册：2002/10/18 22:44:09
|
#12002/11/14 11:12:51
最近在使用UD中自带的User Authentication中的Restrict Access to Page中的功能时发现如下一个问题,即如果根据USERNAME,PASSWORD及LEVEL做授权访问时,如果数据表中的LEVEL中设定了Admin和None两个级别,且在授权访问的页面只设定了一个ADMIN的LEVEL,所有设为None级别的用户，都可通过用户身份验证，从而进入只有ADMIN 级别的页面，与设计的目的不符！请问有相关的补丁吗？
|
肖天
职务：普通成员
等级：1
金币：0.0
发贴：37
注册：2002/8/12 1:18:27
|
#22002/11/14 11:29:50
不会吧！
我昨天刚做了一个有管理权限设置的系统，一点问题也没有啊！
是不是你弄错了？
|
winpos
职务：普通成员
等级：1
金币：0.0
发贴：41
注册：2002/10/18 22:44:09
|
#32002/11/14 12:40:43
如果可以的话，你可以在数据库中建立一个用户名，使其LEVEL的内容为None,然后测试一下，肯定会的！试过才知道吗！
|
Such a lovely place
职务：普通成员
等级：2
金币：10.0
发贴：573
注册：2001/11/4 21:15:56
|
#42002/11/14 12:46:05
是吗？我还真是第一次听说。我要试试看
|
winpos
职务：普通成员
等级：1
金币：0.0
发贴：41
注册：2002/10/18 22:44:09
|
#52002/11/14 13:12:45
真的要试试，我用是ACCESS做数据库，大家可以试试！
|
肖天
职务：普通成员
等级：1
金币：0.0
发贴：37
注册：2002/8/12 1:18:27
|
#62002/11/15 4:00:19
噢，你說是設為None，這個有可能吧！
我沒試過。
|
winpos
职务：普通成员
等级：1
金币：0.0
发贴：41
注册：2002/10/18 22:44:09
|
#72002/11/15 15:01:18
那你可以试试的，因为查询的时候该字段的值为NONE，可能会和保留字相同引起的，
|
