2018/Feb/28 -i állapot hozzáadva, mint a módosítások kiindulási állapota

1 files changed, 358 insertions, 0 deletions

diff --git a/mayor-orig/www/include/backend/ads/auth/login.php b/mayor-orig/www/include/backend/ads/auth/login.php
new file mode 100644
index 00000000..59cbf3e5
--- /dev/null
+++ b/mayor-orig/www/include/backend/ads/auth/login.php
@@ -0,0 +1,358 @@
+<?php
+/*
+    Auth-ADS
+
+    A név-jelszó pár ellenőrzése Active Directory adatbázis alapján
+*/
+
+/* --------------------------------------------------------------
+
+    Felhasználók azonosítása az AD-ban tárolt person (konfigurálható)
+    osztályok alapján történik.
+
+    A függvény az előre definiált _AUTH_SUCCESS, _AUTH_EXPIRED, _AUTH_FAILURE
+    konstansok valamelyikével tér vissza. (include/modules/auth/base/config.php)
+
+    Sikeres hitelesítés esetén
+    az egyéb account információkat (minimálisan a 'cn', azaz 'common name'
+    attribútumot) a cím szerint átadott $accountInformation tömbbe helyezi el.
+
+    Sikertelen azonosítás esetén a globális $_SESSION['alert'] változóban jelzi az
+    elutasítás okát.
+
+-------------------------------------------------------------- */
+
+######################################################################
+# Az LDAP protocol version 3 kötelező, 
+# referals=0 nélkül használhatatlanul lassú
+######################################################################
+
+    ldap_set_option(NULL, LDAP_OPT_PROTOCOL_VERSION, 3);
+    ldap_set_option(NULL, LDAP_OPT_REFERRALS, 0);
+
+    /**
+     * A userAccountControl pár fontos flag-e:
+     * 
+     * Forrás: http://msdn.microsoft.com/en-us/library/windows/desktop/ms680832%28v=vs.85%29.aspx
+     * 
+     *	512 	Enabled Account
+     *	514 	Disabled Account
+     *	544 	Enabled, Password Not Required
+     *	546 	Disabled, Password Not Required
+     *	66048 	Enabled, Password Doesn't Expire
+     *	66050 	Disabled, Password Doesn't Expire
+     *	66080 	Enabled, Password Doesn't Expire & Not Required
+     *	66082 	Disabled, Password Doesn't Expire & Not Required
+     *	590336	Enabled, User Cannot Change Password, Password Never Expires
+     *
+     * Ha pwdLastSet=0 és UF_DONT_EXPIRE_PASSWD=0, akkor következő bejelentkezéskor jelszót _kell_ változtatni.
+    **/
+    define('ADS_UF_ACCOUNTDISABLE',0x00000002); // The user account is disabled.
+    define('ADS_UF_PASSWD_NOTREQD',0x00000020); // No password is required.
+    define('ADS_UF_PASSWD_CANT_CHANGE',0x00000040); // The user cannot change the password. 
+    define('ADS_UF_ENCRYPTED_TEXT_PASSWORD_ALLOWED',0x00000080); // The user can send an encrypted password.
+    define('ADS_UF_NORMAL_ACCOUNT',0x00000200); // This is a default account type that represents a typical user.
+    define('ADS_UF_DONT_EXPIRE_PASSWD',0x00010000); // The password for this account will never expire.
+    define('ADS_UF_PASSWORD_EXPIRED',0x00800000); // The user password has expired.
+
+    /**
+     * Ha az accountExpires = 0 or 0x7FFFFFFFFFFFFFFF (9223372036854775807), akkor az account sose jár le. (nem a jelszó! az account.)
+    **/
+    define('ADS_ACCOUNTEXPIRES_NEVER','9223372036854775807');
+
+    /**
+     * Forrás: http://msdn.microsoft.com/en-us/library/windows/desktop/ms724284%28v=VS.85%29.aspx
+     *  - unixDays 	- Az eltelt napok száma 1970-01-01-től
+     *  - unixTimestamp - Az eltelt másodpercek száma 1970-01-01 00:00:00-től
+     *  - msFileTime	- A 1601-01-01 00:00:00-tól elteltt 100 nanosecundum-os intervallumok száma (1/10000000 sec)
+    **/
+    function msFileTime2unixDays($pwdLastSet) {
+	return floor((($pwdLastSet / 10000000) - 11644406783) / 86400);
+    }
+    function msFileTime2unixTimestamp($pwdLastSet) {
+	return bcsub(bcdiv($pwdLastSet, '10000000'), '11644473600');
+    }
+
+    function getAccountStatus($userAccount, $toPolicy, $userinfo, $ds) {
+
+    /**
+     * Meghatározza a felhasználói jelszó lejárati dátumát és az account egyéb fontos jellemzőit
+     * 
+     * @params: $userAccount - a lekérdezendő account
+     * @params: $userinfo - A user adatait tartalmazó korábbi LDAP lekérdezés eredménye (useraccountcontrol, pwdlastchange)
+     * @params: $ds - LDAP csatlakozás azonosító
+     * @requires: bcmath http://www.php.net/manual/en/book.bc.php
+     *     MSDN: http://msdn.microsoft.com/en-us/library/ms974598.aspx - a pwdLastSet 64 bites integer
+     * @return:  array
+     * @param book $isGUID Is the username passed a GUID or a samAccountName
+    **/
+	global $AUTH;
+
+	if ($toPolicy == '') $toPolicy = _POLICY;
+	if (!function_exists('bcmod')) { 
+	    $_SESSION['alert'][] = 'message:system_error:Nem támogatott függvényhívás [bcmod]! http://www.php.net/manual/en/book.bc.php';
+	    return false;
+	};
+
+	if (!$ds) {
+	    $closeLDAP = true;
+	    // Csatlakozzunk az LDAP kiszolgálóhoz!
+	    // Kapcsolódás a szerverhez
+	    $ds = ldap_connect($AUTH[$toPolicy]['adsHostname']);
+	    if (!$ds) {
+    		$_SESSION['alert'][] = 'alert:ldap_connect_failure';
+    		return false;
+	    }
+
+	    // Csatlakozás a szerverhez
+	    $r  = @ldap_bind($ds,$AUTH[$toPolicy]['adsUser'],$AUTH[$toPolicy]['adsPw']);
+    		if (!$r) {
+        	$_SESSION['alert'][] = 'message:ldap_bind_failure';
+		return false;
+    	    }
+	}
+
+	if (!is_array($userinfo)) {
+	    // Kérdezzük le az account adatait!
+    	    $filter="(&(sAMAccountName=$userAccount)(objectClass=".$AUTH[$toPolicy]['adsUserObjectClass']."))";
+    	    $justthese = array("sn","cn",$AUTH[$toPolicy]['adsStudyIdAttr'],"shadowexpire","shadowwarning","shadowinactive","shadowlastchange","shadowmax","pwdlastset","accountexpires","useraccountcontrol");
+    	    $sr = ldap_search($ds, $AUTH[$toPolicy]['adsBaseDn'], $filter, $justthese);
+    	    if (!$sr) {
+        	$_SESSION['alert'][] = "message:ldap_search_failure";
+		if ($closeLDAP) ldap_close($ds);
+		return false;
+    	    }
+    	    $userinfo = ldap_get_entries($ds,$sr);
+	    if ( $userinfo['count'] === 0 || is_null($userinfo)) { // http://bugs.php.net/50185 ha nincs megfelelő elem, akkor - hibásan - null-al tér vissza! (~ PHP 5.2.10)
+        	// Nincs ilyen userAccount (uid)
+        	$_SESSION['alert'][] = "message:no_account:$userAccount";
+		if ($closeLDAP) ldap_close($ds);
+		return false;
+    	    }
+	    if ( $userinfo['count'] > 1 ) {
+        	// Több ilyen uid is van
+        	$_SESSION['alert'][] = "message:multi_uid";
+		if ($closeLDAP) ldap_close($ds);
+		return false;
+    	    }
+	}
+	$pwdlastset = $userinfo[0]['pwdlastset'][0];
+	$userAccountControl = $userinfo[0]['useraccountcontrol'][0];
+
+	$status = array();
+     
+	$status['pwdLastSet'] = $pwdlastset;
+	$status['pwdLastSetDt'] = date('Y-m-d H:i:s',msFileTime2unixTimestamp($pwdlastset));
+	$status['accountExpires'] = $userinfo[0]['accountexpires'][0];
+	$status['accountNeverExpires'] = (ADS_ACCOUNTEXPIRES_NEVER==$userinfo[0]['accountexpires'][0]) || ($userinfo[0]['accountexpires'][0] == 0);
+	if (!$status['accountNeverExpires']) {
+	    $status['accountExpiresDt'] = date('Y-m-d H:i:s',msFileTime2unixTimestamp($userinfo[0]['accountexpires'][0]));
+	    $status['accountExpiresTimestamp'] = msFileTime2unixTimestamp($userinfo[0]['accountexpires'][0]);
+	}
+	$status['accountDisabled'] 	= (bool)($userAccountControl & ADS_UF_ACCOUNTDISABLE); 
+	$status['noPasswordRequired'] 	= (bool)($userAccountControl & ADS_UF_PASSWD_NOTREQD);
+	$status['cannotChangePassword'] = (bool)($userAccountControl & ADS_UF_PASSWD_CANT_CHANGE);
+	$status['normalAccount'] 	= (bool)($userAccountControl & ADS_UF_NORMAL_ACCOUNT);
+	$status['passwordNeverExpire'] 	= (bool)($userAccountControl & ADS_UF_DONT_EXPIRE_PASSWD);
+	$status['passwordExpired'] 	= (bool)($userAccountControl & ADS_UF_PASSWORD_EXPIRED); // Ez mintha nem működne...
+	$status['mustChangePassword'] = ($pwdlastset === '0' && $status['passwordNeverExpire']);
+
+         // A jelszó lejárati dátum az AD-ben két értékből számítható ki:
+         //   - A felhasználó saját pwdLastSet atribútuma: ez tárolja a jelszó utolsó módosításának időpontját
+         //   - A tartomány maxPwdAge atribútuma: milyen hosszú ideig lehet érvényes a jelszó a tartományban
+         //
+         // A Microsoft persze saját kiindulási időpontot és lépési egységet használ az idő tárolására.
+         // Ez a függvény konvertálja ezt az értéket Unix időbélyeggé
+
+	// Kérdezzük le a tartomány maxPwdAge attribútumát!
+        $sr = ldap_read($ds, $AUTH[$toPolicy]['adsBaseDn'], 'objectclass=domain', array('maxPwdAge'));
+        if (!$sr) {
+            $_SESSION['alert'][] = "message:ldap_search_failure:getAccountStatus (ads backend)";
+            if ($closeLDAP) ldap_close($ds);
+            return false;
+        }
+        $info = ldap_get_entries($ds, $sr);
+        $maxpwdage = $info[0]['maxpwdage'][0];
+
+         // Lásd MSDN: http://msdn.microsoft.com/en-us/library/ms974598.aspx
+         //
+         // pwdLastSet tartalmazza az 1601 (UTC) január 1 óta eltelt 100 nanoszekundumos időintervallumok számát
+         // 64 bit-es integer típusú értékként
+         //
+         // Ettől az időponttól a Unix időszámítás kezdetéig eltelt másodpercek száma 11644473600.
+         //
+         // maxPwdAge szintén large integer, ami a jelszóváltoztatás és a jelszó lejárat közötti 100 nanoszekundumos időintervallumok számát tárolja
+
+	$status['maxPwdAgeInDays'] = bcdiv(bcsub(0,$maxpwdage),'36000000000')/24;
+
+         // Ezt az étéket át kell váltanunk másodpercekre, de ez egy negatív mennyiség!
+         //
+	 // Ha a maxPwdAge alsó 32 bites része 0, akkor a jelszavak nem járnak le
+         //
+	 // Sajnos ezek a számok túl nagyok a PHP integer típusához, ezért kell a BCMath függvényeit használnunk
+
+	$status['passwordsDoNotExpireInDomain'] = (bcmod($maxpwdage, 4294967296) === '0');
+
+	// Adjuk össze a pwdlastset és maxpwdage értékeket (pontosabban az utóbbi negatív értéket
+	// vonjuk ki az előbbiből), így megkapjuk a jelszó lejáratának időpontját a Microsoft féle
+	// egységekben.
+        $pwdexpire = bcsub($pwdlastset, $maxpwdage);
+        
+        // Konvertáljuk az MS féle időt unix időre
+        $status['expiryTimestamp'] = bcsub(bcdiv($pwdexpire, '10000000'), '11644473600');
+        $status['expiryDate'] = date('Y-m-d H:i:s', bcsub(bcdiv($pwdexpire, '10000000'), '11644473600'));
+
+	if ($closeLDAP) ldap_close($ds);
+
+	$status['userAccount'] = $userAccount;
+	$status['usetAccountControl'] = $userAccountControl;
+	$status['shadowLastChange'] = $userinfo[0]['shadowlastchange'][0];
+	$status['shadowWarning'] = $userinfo[0]['shadowwarning'][0];
+	$status['shadowInactive'] = $userinfo[0]['shadowinactive'][0];
+        return array_merge($status);
+
+	
+    }
+
+    function adsUserAuthentication($userAccount, $userPassword, &$accountInformation, $toPolicy) {
+
+	global $AUTH;
+
+	if ($toPolicy == '') {
+	    if ($accountInformation['policy'] != '') $toPolicy = $accountInformation['policy'];
+//	    elseif ($_REQUEST['toPolicy'] != '') $toPolicy = $_REQUEST['toPolicy'];
+	    else $toPolicy = _POLICY;
+	}
+
+	// Kapcsolódás a szerverhez
+	$ds = ldap_connect($AUTH[$toPolicy]['adsHostname']);
+	if (!$ds) {
+    	    $_SESSION['alert'][] = 'alert:ldap_connect_failure';
+    	    return _AUTH_FAILURE;
+	}
+
+	// Csatlakozás a szerverhez
+	$r  = @ldap_bind($ds,$AUTH[$toPolicy]['adsUser'],$AUTH[$toPolicy]['adsPw']);
+        if (!$r) {
+            $_SESSION['alert'][] = 'message:ldap_bind_failure';
+	    return _AUTH_FAILURE;
+        }
+
+	// Van-e adott azonosítójú felhasználó?
+        $filter="(&(sAMAccountName=$userAccount)(objectClass=".$AUTH[$toPolicy]['adsUserObjectClass']."))";
+        $justthese = array("sn","cn",$AUTH[$toPolicy]['adsStudyIdAttr'],"shadowexpire","shadowwarning","shadowinactive","shadowlastchange","shadowmax","pwdlastset","accountexpires","useraccountcontrol");
+        $sr = ldap_search($ds, $AUTH[$toPolicy]['adsBaseDn'], $filter, $justthese);
+        if (!$sr) {
+            $_SESSION['alert'][] = "message:ldap_search_failure";
+	    ldap_close($ds);
+	    return _AUTH_FAILURE;
+        }
+        $info = ldap_get_entries($ds,$sr);
+	if ( $info['count'] === 0 || is_null($info)) { // http://bugs.php.net/50185 ha nincs megfelelő elem, akkor - hibásan - null-al tér vissza! (~ PHP 5.2.10)
+            // Nincs ilyen userAccount (uid)
+            $_SESSION['alert'][] = "message:no_account:$userAccount";
+	    ldap_close($ds);
+	    return _AUTH_FAILURE_1;
+        }
+
+	if ( $info['count'] > 1 ) {
+            // Több ilyen uid is van
+            $_SESSION['alert'][] = "message:multi_uid";
+	    ldap_close($ds);
+	    return _AUTH_FAILURE_2;
+        }
+
+        if ($info['count']==1) { // Van - egy - ilyen felhasználó
+
+	    $status = getAccountStatus($userAccount, $toPolicy, $info, $ds);
+	    // Lejárt-e
+	    // A lejárat ideje a shadowExpire és shadowLastChange+shadowMax kötül a kisebbik
+	    // Esetünkben
+	    if ($info[0]['pwdlastset'][0] != '') { // A pwdLastSet és shadowLastChange közül a kisebbiket használjuk
+		    $info[0]['shadowlastchange'][0] = msFileTime2unixDays($info[0]['pwdlastset'][0]);
+    	    }
+
+	    // A globális beállítással kikényszeríthető a nagyobb warning időszak	    
+	    $shadowWarning = ($status['shadowWarning']<$AUTH[$toPolicy]['shadowWarning']) ? $AUTH[$toPolicy]['shadowWarning'] : $status['shadowWarning'];
+
+
+	    $disabled = ( // Ha az jelszavak lejárhatnak a domain-ben és a user jellszava is lejárhat és le is járt...
+		!$status['passwordNeverExpire']
+		&& !$status['passwordsDoNotExpireInDomain']
+		&& $status['expiryTimestamp'] < time()
+	    ) || ( // vagy az account lejárhat és le is járt
+		!$status['accountNeverExpires']
+		&& $status['accountExpiresTimestamp']<time()
+	    ); // Akkor már nem lehet belépni/jelszót változtatni...
+	    $expired = ( // Ha a jelszavak lejárhatnak és a user jelszava is lejárhat, és shadowwarning-on belül le fog járni a jelszó
+		!$status['passwordNeverExpire']
+		&& !$status['passwordsDoNotExpireInDomain']
+		&& $status['expiryTimestamp'] - ($shadowWarning*24*60*60) < time()
+	    ) || ( // Ha az account lejárhat és shadow warning-on belül le is fog járni az account
+		!$status['accountNeverExpires']
+		&& $status['accountExpiresTimestamp'] - ($shadowWarning*24*60*60) < time()
+	    ); // ...
+
+	    /**
+	     * Más backend-ben csak $AUTH[$toPolicy]['onDisabled'] == 'refuse' esetén utasítanánk el, de itt nincs más lehetőség...
+	    **/
+	    if ($disabled) {
+                $_SESSION['alert'][] = 'message:account_disabled';
+		ldap_close($ds);
+		return _AUTH_FAILURE_4;
+	    }
+
+	    $accountInformation['cn'] = $info[0]['cn'][0];
+	    $accountInformation['studyId'] = $info[0][ $AUTH[$toPolicy]['adsStudyIdAttr'] ][0];
+	    $accountInformation['dn'] = $info[0]['dn'];
+	    $accountInformation['account'] = $userAccount;
+	    // Jelszó ellenőrzés - lehet-e csatlakozni
+    	    if (!@ldap_bind($ds, $accountInformation['dn'], $userPassword)) {
+        	$_SESSION['alert'][] = 'message:bad_pw';
+		return _AUTH_FAILURE_3;
+    	    }
+
+	    ldap_close($ds);
+	    if (!$expired || $AUTH[$toPolicy]['onExpired'] == 'none') {
+		return _AUTH_SUCCESS;
+	    } else {
+		$pwLejar = floor(($status['expiryTimestamp'] - time()) / 86400);
+            	$_SESSION['alert'][] = 'info:account_warning:'.$pwLejar;
+		$_SESSION['alert'][] = 'info:warn_account_disable:'.$pwLejar; // más backend esetén csak onDisable=refuse esetén szoktuk...
+		if ($AUTH[$toPolicy]['onExpired'] == 'warning') {
+		    return _AUTH_SUCCESS;
+		} elseif ($AUTH[$toPolicy]['onExpired'] == 'force update') {
+		    return _AUTH_EXPIRED;
+		} else {
+		    return _AUTH_FAILURE;
+		}
+	    }
+
+/*
+	    // Lejárt-e az azonosító
+	    if ($AUTH[$toPolicy]['onExpired'] != 'none' && isset($expireTimestamp)) { // onExpired: none | warning | force update
+		// Lejárt-e
+                $pwLejar = $expireTimestamp - floor(time()/(60*60*24));
+                if (0 < $pwLejar && $pwLejar < $info[0]['shadowwarning'][0]) {
+                    $_SESSION['alert'][] = 'info:account_warning:'.$pwLejar;
+		    return _AUTH_SUCCESS;
+                } elseif ($pwLejar <= 0) {
+            	    $_SESSION['alert'][] = 'info:account_expired:'.abs($pwLejar);
+		    if ($AUTH[$toPolicy]['onDisabled'] == 'refuse') $_SESSION['alert'][] = 'info:warn_account_disable:'.($info[0]['shadowinactive'][0]+$pwLejar);
+		    if ($AUTH[$toPolicy]['onExpired'] == 'warning') {
+			return _AUTH_SUCCESS;
+		    } elseif ($AUTH[$toPolicy]['onExpired'] == 'force update') {
+			return _AUTH_EXPIRED;
+		    } else {
+			return _AUTH_FAILURE;
+		    }
+                }
+            } // onExpired
+	    // Ha idáig eljut, akkor minden rendben.
+	    return _AUTH_SUCCESS;
+*/
+        } // count == 1
+
+    }
+
+?>