0

soy nuevo acá y tengo un problema con mi página, resulta que tiene registro de usuario, sesión y administrador, si entro con mi cuenta de admin, puedo borrar o editar usuarios, le problema es que, al entrar en admin, aparece una sección llamada "Usuarios" donde entro y me aparece la lista de usuarios registrados, pero si copio la URL(http://localhost/bib-t1r/abm_p.php) de esa sección y entro sin mi cuenta de admin, puedo entrar sin que se me prohiba la entrada y borrar todo lo que quiera, realmente no sé que agregar o modificar para solucionar el error de seguridad.

    <?php
@$_COOKIE['aux_d'];

if(@$_COOKIE['aux_d'] == 2)
{
include_once("libreria/persona.php");

$datos = new Persona();
$persona = new Persona();

include_once("menu_bs.php");

$operacion = '';

$nombre = '';
$apellido = '';
$sexo = '';
$dni = '';
$carrera = '';
$telefono='';
$email='';
$user='';
$rol='';

if (!empty($_POST)) {
    $operacion = isset($_GET['operacion']) ? $_GET['operacion'] : 'alta' ;
    if ($operacion == 'alta' && !isset($_GET['id_pers'])){
        $persona->nombre=$_POST['txtNombre'];
        $persona->apellido=$_POST['txtApellido'];
        $persona->sexo=$_POST['txtSexo'];
        $persona->dni=$_POST['txtDni'];
        $persona->carrera=$_POST['txtCarrera'];
        $persona->telefono=$_POST['txtTelefono'];
        $persona->email=$_POST['txtEmail'];
        $persona->user=$_POST['txtUser'];
        $persona->rol=$_POST['txtRol'];
        if($_POST['txtPass'] != "" && $_POST['txtPass1'] != "" && ($_POST['txtPass'] == $_POST['txtPass1'])){
          $persona->passwd=$_POST['txtPass'];
        }
        else{
        $persona->passwd="";
        }           
        $persona->guardar();
    }
    if ($operacion == 'actualizar' && isset($_GET['id_pers'])){
        echo '2-actualizar';
        $persona->nombre=$_POST['txtNombre'];
        $persona->apellido=$_POST['txtApellido'];
        $persona->sexo=$_POST['txtSexo'];
        $persona->dni=$_POST['txtDni'];
        $persona->carrera=$_POST['txtCarrera'];
        $persona->telefono=$_POST['txtTelefono'];
        $persona->email=$_POST['txtEmail'];
        $persona->user=$_POST['txtUser'];
        $persona->rol=$_POST['txtRol'];
        if($_POST['txtPass'] != "" && $_POST['txtPass1'] != "" && ($_POST['txtPass'] == $_POST['txtPass1'])){
          $persona->passwd=$_POST['txtPass'];
        }
        else{
          $persona->passwd="";
        }       
        $persona->actualizar($_GET['id_pers']);
        header("Location: ".$_SERVER['PHP_SELF']);
    }
    if ($operacion == 'borrar' && isset($_GET['id_pers'])){
        $persona->borrar($_GET['id_pers']);
    }
    if ($operacion == 'edicion' && isset($_GET['id_usuario'])) {
        $id_usuario = $_GET['id_usuario'];
        $datos=Persona::traer_datos($id_usuario);
        $nombre = $datos['nombre'];
        $apellido = $datos['apellido'];
        $sexo = $datos['sexo'];
        $dni = $datos['dni'];
        $carrera = $datos['carrera'];
    } 
}
?>
<script src="bootstrap/js/funciones_p.js"></script> 
<div class="container-fluid">
   <nav class="navbar navbar-default " role="navigation" >  
      <ul class="nav navbar-nav" style="padding-top: 10px;padding-bottom: 0px;">
      <span style="padding-right: 20px;font-weight: bold;">Usuarios</span>
      <button type="button" class="btn btn-primary  btn-sm"   onclick="cargar('#capa_d','alta_p.php')">Alta</button>
      </ul>        
      <ul class="nav navbar-nav" style="padding-top: 10px;padding-bottom: 0px;">
        <input type="text"  id="txt_b" placeholder="Buscar" style="position: absolute;right: 100px;" >
        <button type="button" id="btn_b" class="btn btn-primary btn-sm" style="position: absolute;right: 20px;">Buscar</button>
      </ul>     
     </div>  
   </nav>
 </div>

<div class="row">
  <div class="col-sm-6">
  <div id="capa_d">
  </div>
  </div>
  <div class="col-sm-6">
  <div id="capa_L"> 
        </div>
</div>
</div>
</body>
</html>
<?php
}else{echo 'Usted no tiene permitido el acceso a esta seccion';}
?>

Desde ya muchas gracias. Y disculpen, es mi primera vez que armo una página así.

9
  • Almacenas en sesión el tipo de usuario que es?? Commented el 20 may. 2018 a las 18:07
  • Tengo un "if ( isset($_SESSION['username']) && isset($_SESSION['userid']) && $_SESSION['username'] != '' && $_SESSION['userid'] != '0' )" En login.php
    – Booker
    Commented el 20 may. 2018 a las 19:09
  • Mira la respuesta, a ver si te funcina Commented el 20 may. 2018 a las 19:14
  • Al agregarlo, al ingresar con admin logeado aparece: Notice: Undefined variable: _SESSION in C:\xampp\htdocs\bib-t1r\abm_p.php on line 8 Y sin el admin logeado es el mismo error
    – Booker
    Commented el 20 may. 2018 a las 19:25
  • Claro, cuando inicias session debes poner el valor en la session, por ejemplo, if(esta_logueado){ $_SESSION['tipo_usuario']==$tipo_usuario;} Commented el 20 may. 2018 a las 19:27

2 respuestas 2

1

Si almacenas en session el tipo de usuario que es, puedes poner el siguiente código en tu página abm_p.php :

if($_SESSION['tipo_usuario']!='admin'){
    echo 'Usted no tiene permitido el acceso a esta seccion';
    die;
}
0

Auxiliate de la opción header location

El siguiente script lo debes colocar en todas las páginas que necesites proteger de inicios de sesión restringidos

SOBRE HEADER LOCATION

Header location enviará los encabezados HTTP del mismo modo te aclaro que es mejor que la URL a la cual vas a redirigir al usuario de preferencia sea la absoluta para que todos los navegadores la interpreten del modo correcto

Del modo siguiente

if($_SESSION['tipo_usuario']!='admin'){
    header('Location: http://web.com/login.php');
}

Se usa die para que inmediatamente que se valida que la sesión no se corresponda se mata la ejecución del script

Con header location, lo que hacemos es pasarle la url de la página que le vamos a mostrar al usuario una vez que se valida que la sesión no es la indicada para un determinado usuario

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.