Sicherheit zwischen Flash und PHP

[hhjjppww]

Hallo,

ich hab in Flash ein kleines Spiel programmiert, welches dann zb. den Highscore and ein PHP-script versendet. Dieses PHP-Script traegt dann den Highscore in eine Datenbank ein.

Inwiefern sind hier Sicherheitsluecken und wie kann ich sie schliessen.

Reicht es aus, wenn ich die Werte mittels der PODT-Methode versende, oder koennen welchen von aussen immernoch auf das PHP-script zugreifen und so eventuell die Datenbank manipulieren?

Dankeschoen.

EDIT:

Also, die POST-Methode schuetzt auch nicht, da man auch von ausserhalb ja scripte basteln kann die per POST-Methode versenden. Allerdings geht das ja nur, wenn man die Variablennamen kennt. Und diese sind ja in der Flash-SWF-Datei angegeben. und Wie ich gehoert habe, gibt es sogar SWF to FLA Decompiler.
Also meine Frage nun: gibt es eine Moeglichkeit seine SWF-Datei zu schuetzen, sodass boese Menschen keinen Zugriff auf die Datei haben und sie dann decompilieren koennen und dann meine Datenbank manipulieren koennen?

Danke!

 

[Tobias Menzel]

Hi,

wer es wirklich darauf anlegt, wird auch herausfinden, welche Daten an den Server gesendet werden (vorausgesetzt, der Aufwand lohnt sich) - notfalls eben per Reverse-Engineering und Netzwerk-Sniffing.

Schützen solltest Du Dich, indem Du alles, was per $_POST ankommt, entsprechend entschärfst (z.B. durch mysql_real_escape_string etc.).

Denkbar wäre auch eine Art Identifizierung: Beim Start der Seite generierst Du mit PHP eine eindeutige ID, die Du an den Flashfilm sendest und temporär in der dB ablegst. Der Film sendet diese ID nun bei allen weiteren Anfragen mit, wo sie mit der ursprünglichen Zeichenfolge verglichen wird. Stimmt die ID nicht mit einer vorhandenen überein, ist sie veraltet oder nicht vorhanden, brichst Du das Script ab.

Für mehr Infos solltest Du Dich im PHP-Forum umsehen, da dies nicht unbedingt ein Flash-spezifisches Problem ist.

Gruß
.

 

[hhjjppww]

Hi, danke fuer deine Antwort. Ich denke auch, dass ich etliche Abfragen im PHP-Script machen werden muss, zB mit der ID und Passwoertern. Anders kann man sich wohl leider nicht schuetzen.