[PHP]weryfikacja użytkownika i szyfrowanie Opcje

[pablo_83]

Mam taki problem jak zrobić żeby skrypt przeszukiwał całą tabele w poszukiwaniu danego użytkownika (narazie sprawdza tylko pierwszą kolumne) nie wiem jak zrobić jakąś pentelke czy coś.
A drugie to jak odszyfrować użytkownika i hasło z tabeli żeby mogło zostać porównane, używam sha1 do szyfrowania.
W komentarzu na dole sposób szyfrowania jest

[PHP] pobierz, plaintext 
<?php
 
$login = $_POST['login'];
$passw = $_POST['haslo'];
 
 
$con = mysql_connect("mysql3.yoyo.pl", "*****", "*****");
mysql_select_db("*****");
mysql_query("SET NAMES 'utf8'");
mysql_query("SET collation_connection = utf8_polish_ci");
 
            
if  (!$con) 
        {
                echo ("Nie mogę połączyć z bazą");
        }
          
        else 
        {
            
            //echo ("Użytkownik zalogowany<br  />");
            $zapytanie = ("SELECT Login, Haslo FROM Users");
            $wynik = mysql_query($zapytanie);
            //$ile = mysql_num_rows($wynik);
            $dane = mysql_fetch_array($wynik);
            
            
            
            if($login ==''.$dane['Login'].'' && $passw ==''.$dane['Haslo'].'')
            {
            
                $zapytanie1 = ("SELECT * FROM Filtry ORDER By IdFiltr ASC");
               $wynik1 = mysql_query($zapytanie1);
               $row = mysql_fetch_array($wynik1);
       
         echo 
         
         
         'IdFiltru - '.$row['IdFiltr'].'<br />
         Producent - '.$row['Producent'].'<br />
         Oznakowanie - '.$row['Oznakowanie'].'<br />
         Samochód - '.$row['Samochód'].'<br />
         Pojemność - '.$row['Pojemność'].'<br />
         Rokcznik samoch - '.$row['Rok'].'<br />
         Typ - '.$row['Typ'].'<br />'; 
                }
                else echo 'Nie ma takiego użytkownika w bazie';
                
            }
        
            
            mysql_close() or die(mysql_error());
 
 
?>
 
/*$login = $_POST['login'];
$passw = $_POST['haslo'];
 
 
$pas =sha1($passw);
$log =sha1($login);
...
...
...
$wynik = mysql_query("INSERT INTO Users (Login, Haslo )
            VALUES ('$log', '$pas')") 
            or die(mysql_error());*/
[PHP] pobierz, plaintext 

[ddiceman]

sha1 to nie funkcja szyfrujaca a funkcja skrotu (dwie zupelnie rozne sprawy). Jest to funkcja jednokierunkowa, zatem raz wygenerowanej sumy nie da sie rozszyfrowac. Mozna jedynie porownywac, czy sha1(haslo_wzorcowe) == sha1(haslo_testowane), czyli

[PHP] pobierz, plaintext 
<?php
//tutaj trzeba zabezpieczyc dane przeslane $_POSTem
$result = mysql_query('SELECT login FROM users WHERE login = "'.$_POST['login'].'" AND haslo = "'.sha1($_POST['haslo']).'" LIMIT 1;');
if(mysql_numrows($result) > 1){
  //zalogowany
}
else{
 // blad logowania
}
?>
[PHP] pobierz, plaintext 

[guilty82]

[PHP] pobierz, plaintext 
<?php
$zapytanie = ("SELECT Login, Haslo FROM Users WHERE Login='".sha1($login)."' AND Haslo='".sha1($passw)."'");
?>
[PHP] pobierz, plaintext 

// EDIT
literowka

Ten post edytował guilty82 5.06.2009, 16:21:15

[Savage.Mephisto]

Poprawiłem nieco:

[PHP] pobierz, plaintext 
<?php
 
$login = $_POST['login'];
$passw = $_POST['haslo'];
 
$con = mysql_connect("mysql3.yoyo.pl", "*****", "*****");
mysql_select_db("*****");
mysql_query("SET NAMES 'utf8'");
mysql_query("SET collation_connection = utf8_polish_ci");
 
            
if  (!$con) 
        {
                echo ("Nie mogę połączyć z bazą");
        }
          
        else 
        {
   
            $zapytanie = ("SELECT Login, Haslo FROM Users WHERE Login='.sha1($login).' AND Haslo='.sha1($passw).' LIMIT 1");
            $wynik = mysql_query($zapytanie);
     
            if (mysql_numrows($wynik) == 1)
            {
            
               $zapytanie1 = ("SELECT * FROM Filtry ORDER By IdFiltr ASC");
               $wynik1 = mysql_query($zapytanie1);
               $row = mysql_fetch_array($wynik1);
       
         echo 
           
         'IdFiltru - '.$row['IdFiltr'].'
 
         Producent - '.$row['Producent'].'
 
         Oznakowanie - '.$row['Oznakowanie'].'
 
         Samochód - '.$row['Samochód'].'
 
         Pojemność - '.$row['Pojemność'].'
 
         Rokcznik samoch - '.$row['Rok'].'
 
         Typ - '.$row['Typ'].''; 
 
                }
 
                else echo 'Nie ma takiego użytkownika w bazie';
                
            }
        
           mysql_close() or die(mysql_error());
 
?>
[PHP] pobierz, plaintext 

Ten post edytował Savage.Mephisto 5.06.2009, 16:38:02

[peter13135]

ale poco login ~"szyfrować" tą funkcją sha1 ?

[pablo_83]

to czy login bedzie szyfrowany czy nie nie ma wpływu na działanie kodu....

zmieniłem sha1 na md5 i szyfruje tylko hasło.

w kodzie który kolega zamieścił wyżej wywala mi błąd Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /var/www/sites/yoyo.pl/p/a/pablo83/lista6/lista_6.php on line 34

czy w $zapytaniu SELECT mogę zmienić to sha1 na md5 ? bo czepia mi się że nie prawidłowy string daje :

$zapytanie = ('SELECT Login, Haslo FROM Users WHERE Login = '.$login.' AND Haslo ='.md5($passw).' LIMIT 1');

może tak być?

no i ta instrukcja nie przszukuje całej tabeli, wprowadziłem nie zaszyfrowane dane np na pozycji 5 i nie znajduje takiego użytkownika

edit 1

oczywiście pomyłka tak miało być .md5($passw).

Ten post edytował pablo_83 5.06.2009, 19:05:24

[erix]

[PHP] pobierz, plaintext 
<?php
md5(.$passw.)
?>
[PHP] pobierz, plaintext 

WTF?

[pablo_83]

ok rozumiem że po poprawieniu tego może być, tylko nadal nie działa przeszukanie tabeli w celu znalezienia danego użytkownika i hasła ....

jak to naprawic

[erix]

Pokaż, jak poprawiłeś...

[pablo_83]

tak jak w Edit 1 wyżej

przynajmniej nie wyświetla żadnego błedu T-string ale nadal pozostaje ten co w poscie wyżej mysql_num_rows()

Ten post edytował pablo_83 5.06.2009, 19:18:50

[ciuchy]

Spróbuj tego (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) jak nie będzie działać to nie wiem (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[PHP] pobierz, plaintext 
<?php
 
$login = $_POST['login'];
$passw = $_POST['haslo'];
 
$con = mysql_connect("mysql3.yoyo.pl", "*****", "*****");
mysql_select_db("*****");
mysql_query("SET NAMES 'utf8'");
mysql_query("SET collation_connection = utf8_polish_ci");
 
           
if  (!$con)
       {
               echo ("Nie mogę połączyć z bazą");
       }
         
       else
       {
 
           $zapytanie = ("SELECT Login, Haslo FROM Users WHERE Login='.sha1($login).' AND Haslo='.sha1($passw).' LIMIT 1");
           $wynik = mysql_query($zapytanie);
   
          
           if (mysql_numrows($wynik) == 1)
           {
           
              $zapytanie1 = ("SELECT * FROM Filtry ORDER By IdFiltr ASC");
              $wynik1 = mysql_query($zapytanie1);
if($ile>0)
   {
   for($i=0; $i<$ile; $i++)
   {
              $row = mysql_fetch_array($wynik1);
     
        echo
         
        'IdFiltru - '.$row['IdFiltr'].'
 
        Producent - '.$row['Producent'].'
 
        Oznakowanie - '.$row['Oznakowanie'].'
 
        Samochód - '.$row['Samochód'].'
 
        Pojemność - '.$row['Pojemność'].'
 
        Rokcznik samoch - '.$row['Rok'].'
 
        Typ - '.$row['Typ'].'';
        }
           }
            else {echo 'Nie ma zadnych danych w bazie';}
           }
               else echo 'Nie ma takiego użytkownika w bazie';
               
           }
       
          mysql_close() or die(mysql_error());
 
?>
[PHP] pobierz, plaintext 

[Fifi209]

CO TO JEST?!

Kod

$zapytanie = ("SELECT Login, Haslo FROM Users WHERE Login='.sha1($login).' AND Haslo='.sha1($passw).' LIMIT 1");

loginów użytkowników chyba jako hashe sha1 nie trzymasz?!

W dodatku używaj ' a nie "

Kod

$zapytanie = ('SELECT Login, Haslo FROM Users WHERE Login="'.$login.'" AND Haslo="'.sha1($passw).'" LIMIT 1');

O SQLi chyba nie muszę wspominać?
$login = admin" /*

[pablo_83]

szyfrowanie jest zmienione na md5 tak jak pisałem w poście wyżej..., po za tym login nie ma wpływu na poprawnośc kodu nie ważne jak będzie trzymany (czy szyfrowany czy nie) - nie czepiajcie się szczegółów które nie decydują o funkcjonalności tylko są błędami merytorycznymi...

teraz login jest normalnie trzymany w bazie jako char a haslo szyfrowane md5

a o co chodzi z tym

$login = admin" /* bo tego kolmpletnie nie czaje (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

[Fifi209]

Google fraza: sql injection

Zapraszam do poczytania. (IMG:http://forum.php.pl/style_emoticons/default/haha.gif)

[pablo_83]

no tak to luka w zabezpieczeniach... ale nie o to chodzi...
kod zwraca zwykły błąd składni ...?

Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /var/www/sites/yoyo.pl/p/a/pablo83/lista6/lista_6.php on line 86
Nie ma takiego użytkownika w bazie

i nie przeszukuje tabeli w celu sprawdzenia czy dany użytkownik istnieje, najpierw chciałbym rozwiązać ten problem a potem zająć się udoskonalaniem skryptu

[Fifi209]

A teraz pokaż swój cały przerobiony kod...

[pablo_83]

ja już nie mam pojęcia gdzie szukać błędu i dlaczego cały czas czepia mi się tego mysql_num_rows()...
jest szansa że ktoś coś znajdzie....? jak to naprawić

[PHP] pobierz, plaintext 
<?php
 
$login = $_POST['login'];
$passw = $_POST['haslo'];
 
$con = mysql_connect("mysql3.yoyo.pl", "***", "***");
mysql_select_db("*****");
mysql_query("SET NAMES 'utf8'");
mysql_query("SET collation_connection = utf8_polish_ci");
 
         
if  (!$con)
      {
              echo ("Nie mogę połączyć z bazą");
      }
       
      else
      {
 
          $zapytanie = ('SELECT Login, Haslo FROM Users WHERE Login= '.$login.' AND Haslo='.md5($passw).' LIMIT 1');
          $wynik = mysql_query($zapytanie);
 
         
          if (mysql_num_rows($wynik) == 1) 
          {
         
             $zapytanie1 = ("SELECT * FROM Filtry ORDER By IdFiltr ASC");
             $wynik1 = mysql_query($zapytanie1);
if($ile>0)
  {
  for($i=0; $i<$ile; $i++)
  {
             $row = mysql_fetch_array($wynik1);
   
       echo
       
       'IdFiltru - '.$row['IdFiltr'].'
 
       Producent - '.$row['Producent'].'
 
       Oznakowanie - '.$row['Oznakowanie'].'
 
       Samochód - '.$row['Samochód'].'
 
       Pojemność - '.$row['Pojemność'].'
 
       Rokcznik samoch - '.$row['Rok'].'
 
       Typ - '.$row['Typ'].'';
       }
          }
           else {echo 'Nie ma zadnych danych w bazie';}
          }
              else echo 'Nie ma takiego użytkownika w bazie';
             
          }
     
         mysql_close() or die(mysql_error());
 
?>
[PHP] pobierz, plaintext 

Ten post edytował pablo_83 7.06.2009, 16:28:36

[pgrzelka]

[PHP] pobierz, plaintext 
<?php
$passw = md5($passw);  // raz piszesz o sha1, raz o md5, zdecyduj się ;)
$zapytanie = ("SELECT Login, Haslo FROM Users WHERE Login= '$login' AND Haslo='$passw' LIMIT 1");
?>
[PHP] pobierz, plaintext 

jak nie zadziałą to po tym
$wynik = mysql_query($zapytanie);
daj
echo mysql_error();

[pablo_83]

dzięki wszystkim za pomoc .

katowałem się z tym dwa dni ale w końcu rozwiązanie znalazłem (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif) działa a oto kod. Jak ktoś zauważy jakieś błędy merytoryczne itp proszę o info .

[PHP] pobierz, plaintext 
<?php
 
 
$con = mysql_connect("***", "db772113", "****");
mysql_select_db("*****");
mysql_query("SET NAMES 'utf8'");
mysql_query("SET collation_connection = utf8_polish_ci");
 
         
if  (!$con)
      {
              echo ("Nie mogę połączyć z bazą");
      }
       
      else
      {    $login = $_POST['login'];
            $passw = $_POST['haslo'];
              $pas = md5($passw);
          
             $zapytanie = "SELECT Login, Haslo FROM Users WHERE Login = '$login' AND Haslo = '$pas' LIMIT 1";
          $wynik = mysql_query($zapytanie);
                 echo mysql_error();
          $dane = mysql_fetch_array($wynik); 
            
             if($login ==''.$dane['Login'].'' && $passw ==''.$dane['Haslo'].'')
          {
         
                
            
             $zapytanie1 = ("SELECT * FROM Filtry ORDER By IdFiltr ASC");
             $wynik1 = mysql_query($zapytanie1);
                 $ile = mysql_num_rows($wynik1) or die(mysql_error());
if($ile>0)
  {
  for($i=0; $i<$ile; $i++)
  {
             $row = mysql_fetch_array($wynik1);
   
       echo
       
       'IdFiltru - '.$row['IdFiltr'].'
 
       Producent - '.$row['Producent'].'
 
       Oznakowanie - '.$row['Oznakowanie'].'
 
       Samochód - '.$row['Samochód'].'
 
       Pojemność - '.$row['Pojemność'].'
 
       Rokcznik samoch - '.$row['Rok'].'
 
       Typ - '.$row['Typ'].'';
       }
          }
           else {echo 'Nie ma zadnych danych w bazie';}
          }
              else echo 'Nie ma takiego użytkownika w bazie';
             
          }
     
         mysql_close() or die(mysql_error());
 
?>
[PHP] pobierz, plaintext