Seguridad de un Login. Que piensan?

[loncho_rojas]

Buenas... se me ocurrio algo para verificar un login y demas, pero no se que tan seguro puede ser, por eso dejo a los ojos criticos y opiniones al respecto.

Al hacer un login, verifico a un usuario y su clave.. hasta aca sin problemas (en realidad no hay problema)

Luego, si valido al usuario, que entre a otro form de verificacion, en donde, si ha ingresado con exito, debe introducir un numero clave que esta guardado en la BD en otra tabla, puede ser un DNI u otro dato, si es correcto.. solo ahi entra al ADministrador o CMS de la pagina..

COmo son 6 a 10 administradores distintos, se me ocurrió esto para evitar ataques y demas.. es decir, si pasa la validacion contra SQL Injection, que no pueda pasar salvo que conozca la clave de otra tabla!

Que piensan al respecto, es seguro?

Espero comentarios... gracias

PD: NO USO CAPTCHA PORQUE AUN ASI ES VULNERABLE

[eft0]

Sin tantas vueltas amigo mio:

http://php.net/manual/es/security.da...-injection.php

[phpfan]

-Tienes que usar un filtro http , investiga.

[loncho_rojas]

Gracias, gracias por responder... bien.

Mi pregunta no fue ¿Como hacer un filtro antiInyeccion?, no pido codigos..

Solo queria saber que les parece el metodo de validacion que propuse, y si creen que podria ser efectivo, o le ven alguna falencia... sobre eso es lo que quisiera leer comentarios, sobre la idea, sobre errores conceptuales, o huecos, etc...

Espero comentarios

[walterdevel]

Yo creo que no habría diferencias si en el primer form le preguntas todos los datos. Si tenes bien armado el sistema para que no entren por sql injection, no vas a tener problemas, a no ser que sea un "robot". Te recomiendo usar recaptcha, te va a evitar muchos dolores de cabeza...

[GatorV]

Tema movido desde PHP a Web general

[loncho_rojas]

walterdevel... el captcha es solo para robots, mi idea es que solo los administradores reales puedan ingresar al CMS, por ello, cada uno tiene un codigo asignado, mas alla de su login comun.. dicho codigo es rotativo y unico, de tal manera a que, si por algun motivo, alguien llega a pasar el form de validacion, deba, ingresar ese codigo que lo redireccionará al CMS que le corresponde, con privilegios propios de ese usuario.

Ademas, uso una tabla totalmente distinta para los codigos, de tal manera a que si por algun motivo llegaren a obtener los datos del usuario o de las tablas de usuarios, les resulte mas apañoso cambiar, obtener y demas el codigo...

Dicho codigo es solo para humanos, no para robots, pues no me afecta para nada el spam, o al menos no me preocupa.

En sintesis, segun YO, no es lo mismo prevenir sql o xss inyection, o spam, a evitar que personas no autorizadas ingresen, ya sea porque han obtenido el pass y el user de un administrador... esa es la intencion

phpfan
me intriga eso de filtro HTTP... sobre todo porque no se si es aplicable a PHP.. me suena a un lenguaje de programacion tipo C, C++, C#, Java