phpBB in bestehendes Loginsystem einbinden

[faux]

Hallo!

Weiß jemand, wie man phpBB in ein bestehendes Loginsystem mit Sessions einbindet?
Was sind die Vorraussetzungen dafür?

Danke für jeden Hinweis.

Grüße
Faux

[alcaeus]

Moin faux,

erklaer mal ein bisschen was ueber dieses Login-System und wie es die Sessions verwaltet.
Wenn du die User des einen Systems auch in die User-Tabelle des phpBB uebertraegst, duerfte es kein Problem sein, die Session-Tabelle selbst zu fuellen.

Greetz
alcaeus

[TillWe]

Hallo,

lies mal hier:
http://www.phpbb.de/doku/kb/artikel.php?artikel=152
oder umgekehrt auch hier:
http://www.phpbb.de/doku/kb/artikel.php?artikel=72

mfg

[faux]

Zitat von TillWe:

Hallo,

lies mal hier:
http://www.phpbb.de/doku/kb/artikel.php?artikel=152
oder umgekehrt auch hier:
http://www.phpbb.de/doku/kb/artikel.php?artikel=72

mfg

Danke!

[faux]

So, ich habe das jetzt soweit hinbekommen. Nur habe ich ein Problem: Es funktioniert nicht.. *gg* Besser gesagt nicht immer.

Was ich mache:

1. SID erstellen und in phpbb_sessions eintragen
2. Cookie namens phpbb2mysql_sid mit SID als Inhalt setzen

Was phpBB macht:

1. Es erzeugt eine neue SID und setzt diese ebenfalls in die phpbb_sessions mit User -1 (Anonym, also)
2. Es überschreibt mein gesetztes Cookie mit der neuen SID...

Irgendwie komme ich mir verarscht vor...

Woran kann das liegen?

Grüße
Faux

[alcaeus]

Moin,

wichtig ist:
dass du eine korrekte SID generierst,
dass du eine korrekte User-ID einsetzt,
dass du das session_logged_in-Flag auf 1 setzt,
dass das phpBB und die andere Seite auf dem gleichen Server liegen, foo.bar.com und foobar.bar.com funktioniert schon nicht mehr.

Als Alternative kannst du die Session erzeugen und anschliessend das phpBB mit dem sid-Parameter aufrufen:
h**p://path.to.phpBB/index.php?sid=a539fbc92a...
Wird eine SID mitgegeben, so schreibt das phpBB diese beim naechsten Aufruf in das Cookie.

Greetz
alcaeus

[faux]

Zitat von alcaeus:

wichtig ist:
dass du eine korrekte SID generierst,
dass du eine korrekte User-ID einsetzt,
dass du das session_logged_in-Flag auf 1 setzt,
dass das phpBB und die andere Seite auf dem gleichen Server liegen, foo.bar.com und foobar.bar.com funktioniert schon nicht mehr.

Die SID wird so generiert:

Code:

md5(uniqid(mt_rand(), true))

Die User-ID ist korrekt. Das logged_in-Flag ist ebenfalls auf 1. Beide Seiten liegen auf einem Server.

Zitat von alcaeus:

Als Alternative kannst du die Session erzeugen und anschliessend das phpBB mit dem sid-Parameter aufrufen:
h**p://path.to.phpBB/index.php?sid=a539fbc92a...
Wird eine SID mitgegeben, so schreibt das phpBB diese beim naechsten Aufruf in das Cookie.

Ja, das habe ich auch schon probiert, aber da ist es garnicht gegangen. Jetzt geht es ja zumindest manchmal.

NACHTRAG:
So, ich glaube es geht jetzt. Ich habe mal alle Cookies aus dem Browser gelöscht und es nochmal probiert.

Eine Frage noch:
Ist das OK, wenn ich dem sid-Cookie eine Lebensdauer von einem Monat gebe?

Und noch eine:
In welcher Datei sind die Links zum Login-Form? Und wo ist das kleine Login-Form? Ich will nämlich den link zur login.php durch etwas anderes ersetzen, und dem Kleine-Loginform eine andere Action geben.

NACHTRAG 2:
Es funktioniert nicht so wirklich. phpBB ändert jetzt die SID um, trägt diese in die DB und der User ist dann aber eingelogt. Wieso ändert phpBB die SID um???
Wen man auf Adminbereich klickt, zeigt phpBB die Loginform, obwohl man eingelogt ist...

Grüße
Faux

[DGL-luke]

das mit dem adminbereich stimmt so

soll verhindern, dass jemand, der nur zufällig an das cookie gekmmen ist, ins system kommt.

[faux]

Zitat von DGL-luke:

das mit dem adminbereich stimmt so

soll verhindern, dass jemand, der nur zufällig an das cookie gekmmen ist, ins system kommt.

Ja, danke. Es lag sowieso an mir, ich habe in die sessions-Tabelle das admin-flag nicht gesetzte.

Grüße
Faux

[alcaeus]

Zitat von faux:

Ja, danke. Es lag sowieso an mir, ich habe in die sessions-Tabelle das admin-flag nicht gesetzte.

Das wuerde ich auch nicht machen.

Das Admin-Flag wurde in phpBB 2.0.15 eingebaut, um bei Session-Highjacking noch eine Sperre zum ACP einzubauen. In phpBB 2.0.12 gabs den Bug, dass sich ein beliebiger Angreifer ueber das Autologin-Feature als ein beliebiger User anmelden konnte. Meldete er sich als Admin ein, konnte er sofort ins ACP. Mit diesem Feature muss man nochmal das Passwort eingeben, also sollte das ACP fuer Angreifer Tabu sein

Greetz
alcaeus