[php] szybkie zabezpieczenie skryptu[/php] Opcje

[aga323]

Witam, dawno si nie odzywałam z powodu braku czasu... (IMG:http://forum.php.pl/style_emoticons/default/sad.gif) Ale mam mały problem. jedynym polem na mojej stronce gdzie możnaby wpuscić jakiś złośliwy kod jest logowanie i zależy mi żeby w tym polu można było wpisywac tylko litery a-z i cyfry 0-9 oraz aby nie można było wprowadzac LIKE itd. Po prostu chce choć troszkę zabezpieczyć ten kod. Wiem, ze temat byl tn juz poruszany jednak na prawde nie mam czasu tego wszystkiego czytać i prosze o syzbką odpowiedź. Podaję mój kod:
index.php

[PHP] pobierz, plaintext 
<?php
Panel Logowania:
<form name="logowanie" action="log.php" method="POST">
Użytkownik:
<input type="text" name="user" value="" />
Hasło:
<input type="password" name="pass" value="" />
<br>
<input type="submit" value="zaloguj" />
</form>
?>
[PHP] pobierz, plaintext 

log.php

[PHP] pobierz, plaintext 
<?php
$login_f = $_POST['user'];
$pass_f = $_POST['pass'];
//Laczenie z baza
include ("connect.php");
//-------------------------
//   Zapytanie
//-------------------------
//pobieramy użytkownika o takim loginie z bazy.
$query = mysql_query("SELECT * FROM `users` WHERE login='".$login_f."' AND haslo='".$pass_f."';");
$result = mysql_fetch_array($query);
if(!empty($result['login'])){
 
   $login_b = $result['login'];
   $pass_b = $result['haslo'];
	echo (mysql_error());
		//Tworzymy zmienną sesji $_SESSION['Login']  i nadajemy jej
		//wartość jaka jest w bazie danych odpowiadająca zalogowanemu użytkownikowi.
		$_SESSION['User']= $login_b;
		$_SESSION['User_id']= $result['id'];
		$_SESSION['ranga']= $result['ranga'];
		$_SESSION['klasa']= $result['klasa'];
		//Zalogowanego użytkownika przenosimy na strone index.php
		header( 'Location: ses.php' );
		echo (mysql_error());
 
} 
else
{
echo "Zły login";   
   
}
?>
[PHP] pobierz, plaintext 

[aga323]

Czyli przed kazdym wysłaniem czy sprawdzeniem danych związanych z haslem poprzedzic to md5? A jak np. mam opcje zmiany hsla i chce zeby wysiwtlilo mi sie normalne a nie zakodowane to co mam zrobic?

[Cienki1980]

Czyli przed kazdym wysłaniem czy sprawdzeniem danych związanych z haslem poprzedzic to md5? A jak np. mam opcje zmiany hsla i chce zeby wysiwtlilo mi sie normalne a nie zakodowane to co mam zrobic?

Nic nie możesz zrobić. md5 to hashowanie a nie kodowanie ... jest tylko i wyłącznie jednostronne.

A co do zmiany hasła to we wszystkich szanujących serwisach zmiana hasła składa się z trzech kroków :
- podajesz stare hasło
- podajesz nowe hasło
- powtarzasz nowe hasło
czyli trzy pola input w formularzu

w skrypcie sprawdzasz czy md5(stare_haslo)==haslo_w_bazie && nowe_haslo==nowe_powtorzone_haslo

Jeżeli wszystko się zgadza robisz aktualizacje hasla .. czyli

[PHP] pobierz, plaintext 
<?php
$sql="update tabela set haslo='".md5(nowe_haslo)."'";
?>
[PHP] pobierz, plaintext