Forum PHP.pl

Witam

Mam problem z zagnieżdżeniem warunków. Wydaje mi się, że wszystko jest dobrze lecz nie działa jak trzeba.

[PHP] pobierz, plaintext 
<?php
 
$loglogin = $_POST["login"];
$loghaslo = sha1($_POST["haslo"]);
 
$logowanie = mysql_query("SELECT * FROM UZYTKOWNICY WHERE Uzytkownik='" .$loglogin. "' and Haslo='" .$loghaslo. "'");
$loginspr = mysql_query("SELECT * FROM UZYTKOWNICY WHERE Uzytkownik='" .$loglogin. "'");
 
 
if (mysql_num_rows($logowanie) != 1) {
 
if (mysql_num_rows($loginspr) == 1) {
	$bladhaslo = 1;
 
} else
{
	$bladlogowanie = 1;
 
}
 
} else
{
	$logowanieok = 1;
}
?>
[PHP] pobierz, plaintext 

Nie działa mi część z $logowanieok = 1, pomimo niespełnienia warunku pierwszego kod nie jest wykonywany.

Nie widzę połączenia z bazą, nie masz czy nie wkleiłeś?

Połączenie mam, nie wrzucałem tutaj ponieważ działa na pewno. Inne warunki działają poprawnie.

Straszny ten kod. Raz ze prosisz sie sqlinjection, dwa ze hasla masz plaintextowe, trzy ze jesli to nie Twoj serwer to wystarczy wlaczyc logowanie zapytan i wszystkie hasla sa jak na dloni. A 2 zapytania to juz super pomysl - zeby sie zalogowac user musi podac poprawny login *i* haslo. Po co chcesz mowic dokladnie ze login zly czy haslo zle? nie wyszlo logowanie - "Dane uzyte do logowania nie sa poprawne. Wpisz poprawne dane.". Koniec komunikatu. No chyba ze koniecznie chcesz ulatwic komus odkrycie loginow do istniejacych w systemie kont.

Ten post edytował NEO.pl 25.03.2011, 16:35:47

OK, wykonałem jak napisałeś, czyli udane lub nieudane logowanie. Cod o SQLi to mógłbyś podpowiedzieć jak zabezpieczyć taki panel logowania?

SQL Injection:
http://en.wikipedia.org/wiki/SQL_injection
http://pl2.php.net/mysql_real_escape_string
Google

Co do zapytania i hasla -> jesli juz musisz trzymac plain textowo (99,99% nie musisz) to np. wyjmij haslo z bazy dla danego usera i porownaj sobie w kodzie. Poza tym robienie "SELECT *" jest srednio sensowne jesli interesuje Cie jedynie informacja czy dany rekord istnieje czy nie. Albo wyciagaj to co faktycznie potrzebujesz (np. "SELECT `id`, `haslo` ....) albo tylko zliczaj "SELECT COUNT(id) AS count..." (tylko wtedy mysql_num_rows() nie mozesz uzyc tak jak masz wyzej.

Ten post edytował NEO.pl 25.03.2011, 16:49:57

Dzięki za wskazówki.

Przerobiony kod wygląda następująco:

[PHP] pobierz, plaintext 
<?php
require('includes/includes.php');
 
$loglogin = mysql_real_escape_string($_POST["login"]);
$loghaslo = mysql_real_escape_string(sha1($_POST["haslo"]));
 
$logowanie = @mysql_query("SELECT COUNT(Id_uzytkownika) AS ILE FROM UZYTKOWNICY WHERE Uzytkownik='" .$loglogin. "' and Haslo='" .$loghaslo. "'");
$logowaniedane = mysql_fetch_array($logowanie);
 
//sprawdzanie czy pola nie sa puste
if (empty($_POST["login"]) or empty($_POST["haslo"]))  {
 
	$braklogowanie = "Nie wpisałeś loginu lub hasła";
	echo "brak";
	exit();
}
//sprawdzenie czy dane się zgadzają
if ($logowaniedane["ILE"] != 1) {
 
	$bladlogowanie = "Podane dane są nieprawidłowe";
	echo "blad";
 
} else
{
	$oklogowanie = "ok";
	echo "ok";
}
 
?>
[PHP] pobierz, plaintext 

Czy należało by coś jeszcze do niego dodać aby był bezpieczny?

Ten post edytował pitu120 25.03.2011, 17:41:13

Tak. Poprawna obsluge bledow mysql_query zamiast nieszczesnego @ (bo to i tak zle uzyte masz). A, jeszcze najpierw robisz zapytanie a potem sprawdzasz czy masz do niego "komponenty"? herbate tez najpierw nalewasz a potem wyjmujesz szklanke z szafki? (IMG:style_emoticons/default/smile.gif)

Ten post edytował NEO.pl 25.03.2011, 17:53:33

Dziękuję za podpowiedzi i porady.

OK zmieniłem kolejność
1. sprawdzam pola
2. jeżeli nie są puste wykonuje zapytanie itp.

Czy coś jeszcze można zmienić, dodać?

[PHP] pobierz, plaintext 
<?php
require('includes/includes.php');
 
//sprawdzanie czy pola nie sa puste
if (empty($_POST["login"]) or empty($_POST["haslo"]))  {
 
	$braklogowanie = "Nie wpisałeś loginu lub hasła";
	echo "brak";
	exit();
}
 
$loglogin = mysql_real_escape_string($_POST["login"]);
$loghaslo = mysql_real_escape_string(sha1($_POST["haslo"]));
 
$logowanie = mysql_query("SELECT COUNT(Id_uzytkownika) AS ILE FROM UZYTKOWNICY WHERE Uzytkownik='" .$loglogin. "' and Haslo='" .$loghaslo. "'");
if (!$logowanie) {
    die('Bledne zapytanie');
	exit();
}
$logowaniedane = mysql_fetch_array($logowanie);
 
 
//sprawdzenie czy dane się zgadzają
if ($logowaniedane["ILE"] != 1) {
 
	$bladlogowanie = "Podane dane są nieprawidłowe";
	echo "blad";
 
} else
{
	$oklogowanie = "ok";
	echo "ok";
}
 
?>
[PHP] pobierz, plaintext 

Ten post edytował pitu120 25.03.2011, 20:10:52