201 lines
12 KiB
PHP
201 lines
12 KiB
PHP
<?php
|
|
declare(strict_types=1);
|
|
|
|
/**
|
|
* Prüft die Anmeldesperre über die echte Weboberfläche: Sperre nach zu vielen Fehlversuchen, bekannte Geräte bleiben trotz Sperre anmeldbar,
|
|
* Administrator hebt die Sperre auf, „Passwort vergessen“ hebt sie auf, App-Anmeldung wird mit aufgehoben.
|
|
*/
|
|
|
|
if (!extension_loaded('pdo_sqlite') || !function_exists('curl_init')) { echo "Anmeldesperre-Test übersprungen: pdo_sqlite oder curl fehlt.\n"; exit(0); }
|
|
|
|
date_default_timezone_set('Europe/Berlin');
|
|
$root = dirname(__DIR__);
|
|
$work = sys_get_temp_dir() . '/deskhub-lock-' . bin2hex(random_bytes(4));
|
|
$tmp = $work . '/inst';
|
|
mkdir($tmp, 0755, true);
|
|
$webPort = random_int(35000, 35499);
|
|
$skip = '#^(config/config\.php|database/[^/]+\.sqlite[^/]*|backups|uploads|tests|plugins/[^/]+|\.git)(/|$)#';
|
|
foreach (new RecursiveIteratorIterator(new RecursiveDirectoryIterator($root, FilesystemIterator::SKIP_DOTS), RecursiveIteratorIterator::SELF_FIRST) as $f) {
|
|
$rel = str_replace(chr(92), '/', substr($f->getPathname(), strlen($root) + 1));
|
|
if (preg_match($skip, $rel) && !preg_match('#^(backups|uploads|plugins)/(\.htaccess|README\.md)$#', $rel)) continue;
|
|
if ($f->isDir()) { @mkdir($tmp . '/' . $rel, 0755, true); continue; }
|
|
@mkdir(dirname($tmp . '/' . $rel), 0755, true);
|
|
copy($f->getPathname(), $tmp . '/' . $rel);
|
|
}
|
|
@mkdir($tmp . '/uploads');
|
|
@mkdir($tmp . '/config');
|
|
file_put_contents($tmp . '/config/config.php', '<?php return ' . var_export([
|
|
'app_key' => bin2hex(random_bytes(32)),
|
|
'db' => ['driver' => 'sqlite', 'sqlite_path' => $tmp . '/database/deskhub.sqlite'],
|
|
'site' => ['name' => 'Test', 'url' => 'http://127.0.0.1', 'admin_email' => 'a@test.de', 'timezone' => 'Europe/Berlin'],
|
|
'uploads' => ['max_size_bytes' => 10485760, 'allowed_extensions' => ['png'], 'path' => $tmp . '/uploads'],
|
|
], true) . ';');
|
|
|
|
putenv('DESKHUB_CONFIG_JSON');
|
|
putenv('DESKHUB_SQLITE_PATH');
|
|
putenv('DESKHUB_TESTING');
|
|
putenv('DESKHUB_API_ALLOW_INSECURE=1');
|
|
require_once $root . '/database/sqlite_schema.php';
|
|
require_once $root . '/database/migrate.php';
|
|
$db = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
|
|
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
|
|
$db->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
|
|
$db->exec('PRAGMA foreign_keys = ON');
|
|
$db->exec(convert_schema_to_sqlite((string) file_get_contents($root . '/database/schema.sql')));
|
|
run_migrations($db, true);
|
|
$now = date('Y-m-d H:i:s');
|
|
$dept = (int) $db->query('SELECT id FROM departments ORDER BY id LIMIT 1')->fetchColumn();
|
|
$db->exec('DELETE FROM staff');
|
|
$ins = $db->prepare('INSERT INTO staff (name, email, password_hash, role, department_id, is_active, created_at) VALUES (?,?,?,?,?,1,?)');
|
|
foreach ([['Chef', 'chef@test.de', 'admin'], ['Eva', 'eva@test.de', 'agent']] as [$n, $e, $r]) {
|
|
$ins->execute([$n, $e, password_hash('Sehr-Sicher-1234', PASSWORD_DEFAULT), $r, $dept, $now]);
|
|
}
|
|
$evaId = (int) $db->query("SELECT id FROM staff WHERE email = 'eva@test.de'")->fetchColumn();
|
|
$db = null;
|
|
|
|
$failures = [];
|
|
$total = 0;
|
|
$check = function (bool $ok, string $what) use (&$failures, &$total): void { $total++; if (!$ok) $failures[] = $what; };
|
|
$webProc = proc_open([PHP_BINARY, '-S', "127.0.0.1:$webPort", '-t', $tmp], [['pipe', 'r'], ['file', $work . '/web.out', 'w'], ['file', $work . '/web.out', 'a']], $wp, $tmp);
|
|
|
|
try {
|
|
for ($i = 0; $i < 50; $i++) { if (@fsockopen('127.0.0.1', $webPort)) break; usleep(100000); }
|
|
$pdo = function () use ($tmp): PDO {
|
|
$p = new PDO('sqlite:' . $tmp . '/database/deskhub.sqlite');
|
|
$p->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
|
|
$p->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
|
|
return $p;
|
|
};
|
|
$call = function (string $method, string $path, array $form, string $jar, ?array $json = null) use ($webPort): array {
|
|
$ch = curl_init("http://127.0.0.1:$webPort$path");
|
|
$h = ['Sec-Fetch-Mode: navigate'];
|
|
if ($json !== null) $h[] = 'Content-Type: application/json';
|
|
curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true, CURLOPT_FOLLOWLOCATION => false, CURLOPT_TIMEOUT => 60, CURLOPT_HEADER => true, CURLOPT_HTTPHEADER => $h]);
|
|
if ($jar !== '') { curl_setopt($ch, CURLOPT_COOKIEJAR, $jar); curl_setopt($ch, CURLOPT_COOKIEFILE, $jar); }
|
|
if ($method === 'POST') { curl_setopt($ch, CURLOPT_POST, true); curl_setopt($ch, CURLOPT_POSTFIELDS, $json !== null ? json_encode($json) : http_build_query($form)); }
|
|
$raw = (string) curl_exec($ch);
|
|
$s = (int) curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
|
|
$hs = (int) curl_getinfo($ch, CURLINFO_HEADER_SIZE);
|
|
curl_close($ch);
|
|
return [$s, substr($raw, $hs), substr($raw, 0, $hs)];
|
|
};
|
|
$newJar = fn() => tempnam(sys_get_temp_dir(), 'lck');
|
|
// Eine Anmeldung: gibt [HTTP-Status, Seitentext] zurück
|
|
$attempt = function (string $jar, string $email, string $pass) use ($call): array {
|
|
[, $lp] = $call('GET', '/staff/login.php', [], $jar);
|
|
preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $lp, $m);
|
|
[$s, $b] = $call('POST', '/staff/login.php', ['csrf_token' => $m[1] ?? '', 'email' => $email, 'password' => $pass], $jar);
|
|
return [$s, $b];
|
|
};
|
|
$csrf = function (string $path, string $jar) use ($call): string {
|
|
[, $p] = $call('GET', $path, [], $jar);
|
|
preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $p, $mm);
|
|
return $mm[1] ?? '';
|
|
};
|
|
// Die Prüfungen laufen alle von derselben Adresse: Der Zähler je IP-Adresse wird zwischendurch geleert, damit er die Kontosperre nicht verdeckt
|
|
$freeIp = fn() => $pdo()->exec("DELETE FROM rate_limit_log WHERE bucket = 'staff_login_attempt'");
|
|
$locked = fn(string $b) => str_contains($b, 'Zu viele Anmeldeversuche für dieses Konto');
|
|
$GOOD = 'Sehr-Sicher-1234';
|
|
|
|
// Eva meldet sich einmal an ihrem eigenen Browser an: Das Gerät wird gemerkt
|
|
$jarEva = $newJar();
|
|
[$s] = $attempt($jarEva, 'eva@test.de', $GOOD);
|
|
$check($s === 302, 'Eva meldet sich an (HTTP ' . $s . ')');
|
|
$cookie = '';
|
|
foreach (file($jarEva) ?: [] as $line) { if (preg_match('/\tdh_device\t([a-f0-9]{32})\s*$/', $line, $m)) $cookie = $m[1]; }
|
|
$check($cookie !== '', 'das Gerät wurde mit einem Cookie gemerkt');
|
|
// Ein Browser, der nur dieses Cookie hat (Eva ist dort abgemeldet)
|
|
$knownJar = $newJar();
|
|
file_put_contents($knownJar, "# Netscape HTTP Cookie File\n#HttpOnly_127.0.0.1\tFALSE\t/\tFALSE\t" . (time() + 86400) . "\tdh_device\t{$cookie}\n");
|
|
|
|
// Ein Angreifer ohne Cookie: fünf falsche Versuche sperren das Konto
|
|
$attacker = $newJar();
|
|
$msgs = [];
|
|
for ($i = 1; $i <= 5; $i++) { [, $b] = $attempt($attacker, 'eva@test.de', 'falsch-' . $i); $msgs[] = $locked($b); }
|
|
$check(!in_array(true, $msgs, true), 'die ersten fünf Fehlversuche zeigen noch „falsch“, keine Sperre');
|
|
[, $b] = $attempt($attacker, 'eva@test.de', $GOOD);
|
|
$check($locked($b), 'danach ist das Konto für den Angreifer gesperrt, auch mit dem richtigen Passwort');
|
|
$other = $newJar();
|
|
[, $b] = $attempt($other, 'eva@test.de', $GOOD);
|
|
$check($locked($b), 'ein weiterer Browser ohne gemerktes Gerät ist ebenfalls ausgesperrt');
|
|
$check((int) $pdo()->query("SELECT COUNT(*) FROM login_events WHERE event = 'locked' AND staff_id = {$evaId}")->fetchColumn() === 1, 'die Sperre steht einmal im Anmelde-Wächter');
|
|
|
|
// Evas bekanntes Gerät darf sich trotz Sperre anmelden
|
|
$freeIp();
|
|
[$s, $b] = $attempt($knownJar, 'eva@test.de', 'falsch-bei-bekanntem-geraet');
|
|
$check(!$locked($b) && str_contains($b, 'falsch'), 'bekanntes Gerät mit falschem Passwort: normale Fehlermeldung, keine Sperrmeldung');
|
|
[$s] = $attempt($knownJar, 'eva@test.de', $GOOD);
|
|
$check($s === 302, 'bekanntes Gerät mit richtigem Passwort: Anmeldung klappt trotz Sperre (HTTP ' . $s . ')');
|
|
// Die erfolgreiche Anmeldung setzt den Zähler zurück: auch der Angreifer ist nicht mehr gesperrt (richtiges Passwort kennt er nicht)
|
|
[, $b] = $attempt($attacker, 'eva@test.de', 'falsch-neu');
|
|
$check(!$locked($b), 'nach der erfolgreichen Anmeldung des echten Mitarbeiters beginnt die Zählung neu');
|
|
|
|
// Wieder sperren und die Verwaltung testen
|
|
$freeIp();
|
|
foreach (range(1, 6) as $i) $attempt($attacker, 'eva@test.de', 'nochmal-' . $i);
|
|
$freeIp();
|
|
[, $b] = $attempt($other, 'eva@test.de', $GOOD);
|
|
$check($locked($b), 'wieder gesperrt');
|
|
$jarChef = $newJar();
|
|
$attempt($jarChef, 'chef@test.de', $GOOD);
|
|
[, $page] = $call('GET', '/staff/staff_manage.php', [], $jarChef);
|
|
$check(str_contains($page, 'Anmeldung zeitweise gesperrt') && str_contains($page, 'Sperre aufheben'), 'Mitarbeiterverwaltung zeigt „Anmeldung zeitweise gesperrt“ und „Sperre aufheben“');
|
|
$t = $csrf('/staff/staff_manage.php', $jarChef);
|
|
[$s] = $call('POST', '/staff/staff_manage.php', ['csrf_token' => $t, 'action' => 'unlock_login', 'id' => $evaId], $jarChef);
|
|
$check($s === 302, 'Administrator hebt die Sperre auf (HTTP ' . $s . ')');
|
|
[, $page] = $call('GET', '/staff/staff_manage.php', [], $jarChef);
|
|
$check(!str_contains($page, 'Anmeldung zeitweise gesperrt'), 'danach ist der Hinweis weg');
|
|
$freeIp();
|
|
[$s] = $attempt($other, 'eva@test.de', $GOOD);
|
|
$check($s === 302, 'Eva kann sich sofort wieder anmelden (HTTP ' . $s . ')');
|
|
$check((int) $pdo()->query("SELECT COUNT(*) FROM login_events WHERE event = 'unlocked' AND staff_id = {$evaId}")->fetchColumn() === 1, 'Protokoll: „Sperre aufgehoben“');
|
|
// Normaler Mitarbeiter darf nicht
|
|
$freeIp();
|
|
foreach (range(1, 6) as $i) $attempt($attacker, 'eva@test.de', 'x' . $i);
|
|
$freeIp();
|
|
$jarEva2 = $newJar();
|
|
[, $b] = $attempt($jarEva2, 'eva@test.de', $GOOD);
|
|
$check($locked($b), 'wieder gesperrt (für den Test „Passwort vergessen“)');
|
|
|
|
// „Passwort vergessen“ hebt die Sperre auf
|
|
$token = bin2hex(random_bytes(48));
|
|
$pdo()->prepare("INSERT INTO password_resets (account_type, email, token_hash, expires_at, created_at) VALUES ('staff', ?, ?, ?, ?)")
|
|
->execute(['eva@test.de', hash('sha256', $token), date('Y-m-d H:i:s', time() + 3600), date('Y-m-d H:i:s')]);
|
|
$resetJar = $newJar();
|
|
[, $p] = $call('GET', '/staff/reset_password.php?token=' . $token, [], $resetJar);
|
|
preg_match('/name="csrf_token" value="([a-f0-9]+)"/', $p, $m);
|
|
$newPass = 'Neues-Passwort-5678!';
|
|
[$s, $b] = $call('POST', '/staff/reset_password.php', ['csrf_token' => $m[1] ?? '', 'token' => $token, 'password' => $newPass, 'password2' => $newPass], $resetJar);
|
|
$check(str_contains($b, 'Ihr Passwort wurde geändert'), 'Passwort per Reset-Link geändert');
|
|
$freeIp();
|
|
[$s] = $attempt($jarEva2, 'eva@test.de', $newPass);
|
|
$check($s === 302, 'danach ist die Sperre aufgehoben, Anmeldung mit dem neuen Passwort klappt (HTTP ' . $s . ')');
|
|
$why = (string) $pdo()->query("SELECT detail FROM login_events WHERE event = 'unlocked' ORDER BY id DESC LIMIT 1")->fetchColumn();
|
|
$check(str_contains($why, 'Reset-Link'), 'Protokoll nennt den Reset-Link als Grund');
|
|
|
|
// IP-Sperre bleibt: viele Versuche von einer Adresse
|
|
$freeIp();
|
|
$ipJar = $newJar();
|
|
$ipBlocked = false;
|
|
foreach (range(1, 12) as $i) { [, $b] = $attempt($ipJar, 'niemand' . $i . '@test.de', 'x'); if (str_contains($b, 'Zu viele Anmeldeversuche. Bitte versuchen')) $ipBlocked = true; }
|
|
$check($ipBlocked, 'die Sperre je IP-Adresse gilt weiterhin');
|
|
$known2 = $newJar();
|
|
file_put_contents($known2, "# Netscape HTTP Cookie File
|
|
#HttpOnly_127.0.0.1 FALSE / FALSE " . (time() + 86400) . " dh_device {$cookie}
|
|
");
|
|
[, $b] = $attempt($known2, 'eva@test.de', $newPass);
|
|
$check(str_contains($b, 'Zu viele Anmeldeversuche. Bitte versuchen'), 'und gilt auch für bekannte Geräte');
|
|
@unlink($known2);
|
|
foreach ([$jarEva, $knownJar, $attacker, $other, $jarChef, $jarEva2, $resetJar, $ipJar] as $j) @unlink($j);
|
|
} finally {
|
|
if (is_resource($webProc)) { proc_terminate($webProc); proc_close($webProc); }
|
|
$rm = function (string $d) use (&$rm): void { foreach (glob($d . '/{,.}*', GLOB_BRACE) ?: [] as $e) { $b = basename($e); if ($b === '.' || $b === '..') continue; is_dir($e) ? $rm($e) : @unlink($e); } @rmdir($d); };
|
|
$rm($work);
|
|
}
|
|
|
|
if ($failures) {
|
|
fwrite(STDERR, "Fehlgeschlagen:\n - " . implode("\n - ", $failures) . "\n");
|
|
exit(1);
|
|
}
|
|
echo "Login lock checks passed ({$total} Prüfungen).\n";
|