Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [PHP] przekazywanie ostrzeżen ze skryptu logującego do formularza
paffcio87
post
Post #1





Grupa: Zarejestrowani
Postów: 15
Pomógł: 0
Dołączył: 26.02.2008

Ostrzeżenie: (0%)
-----

Wityam :-)
Mam taki mały problem. Mianowicie mam takie 2 skrypty odpowiedzialne za lpogowanie użytkowników na stronę.
Formularz
[PHP] pobierz, plaintext 
  1. <?php /*
  2. session_start;
  3. if (isset($_SESSION['pass']) or ($_SESSION['login'])) {
  4.    echo $message;
  5.    exit();
  6. } //To jest próba naprawienia mojego problemu
  7. */?>
  8. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0//EN">  
  9. <HTML>  
  10.   <head>
  11. <meta http-equiv="content-type" content="text/html; charset=UTF-8" >  
  12. 	<meta name="generator" content="Bluefish 1.0.7">  
  13. 	<META HTTP-EQUIV="Content Type" CONTENT="text/html;charset=iso-8859-2">  
  14. 	   <TITLE>  
  15. 	  Logowanie  
  16. 	</TITLE>  
  17. 		<LINK REL="stylesheet" HREF="Style.css" TYPE="text/css">  
  18.  
  19. <TABLE>  
  20.   <TR>  
  21.    <TD>  
  22.    <?php  
  23. include("./menu.inc");  
  24. 	 ?>  
  25.    </TD>
  26.  </TR>
  27.  </TABLE>
  28. <center><TABLE>
  29.  <TR>
  30.    <TD>  
  31.    <form action="login.php" method="POST" onreset="(!confirm('Na pewno?')) return false">
  32.  <LEGEND>  
  33.    <H2>Podaj dane swojego konta:</H2>  
  34. </LEGEND>  
  35.   <p><h6>Login: <input type= "text" name= "log" size="15" maxlengh= "10"></h6></p>  
  36.   <p><h6>Hasło: <input type= "password" name= "password" size= "15" maxlength= "20"></h6></p>  
  37. <div align="center"><input type= "submit" name= "submit" value="Zaloguj!"></div>
  38. </form>
  39. </TD>
  40.  </TR>  
  41. </TABLE></center>  
  42. </BODY>  
  43. </HTML>
[PHP] pobierz, plaintext

oraz
skrypt logujący
[PHP] pobierz, plaintext 
  1. <?php
  2. $message= NULL;
  3. ob_start();
  4. require_once('./config.php'); 
  5. session_start();
  6. $log = $_POST['log'];
  7. $password = $_POST['password'];
  8.  
  9. mysql_connect($dbhost, $dbuser, $dbpass);
  10. mysql_select_db($dbname);
  11. $query = mysql_query ("SELECT * FROM userzy WHERE login='$log'");
  12. $row = mysql_fetch_array ($query);
  13.  
  14. if($row) {
  15.   if(($password) == base64_decode($row['haslo'])) {
  16.    $_SESSION['logowanie']= $log;
  17. 	   header("Location: index.php"); 
  18. 	 } else {
  19. $message .= "Podane hasło jest niepoprawne!!!";
  20.    $_SESSION['pass'] = $message;
  21. 	header("Location: logowanie.php");
  22. 		}
  23. } else {
  24. 	$message .= "Podane przez Ciebie konto nie istnieje";
  25. 	$_SESSION['login'] = $message;
  26. 	header("Location: logowanie.php");	
  27. 	 
  28. }
  29. mysql_close();
  30. ob_end_flush;
  31. ?>
[PHP] pobierz, plaintext

I teraz mój problem polega na tym, że chem zrobić coś takiego, że jak user powiedzmy poda złe hasło (lub login) to przekierowuje go na strone z formularzem i wyskakuje napis "Podane hasło jest niepoprawne!!!" i adekwatnie ze złym loginem (Napis: "Podane przez Ciebie konto nie istnieje") nad formularzem logowania. Chciałbym żeby takie coś działo się tylko w przypadku gdy ktoś poda złe dane- kiedy loguje się po raz pierwszy to nie ma nic po za formularzem. Mam nadzieje, że wiecie o co mi chodzi :-)
Szukałem podobnego tematu, ale nie znalalęm więc proszę Was o pomoc :-)
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi
guitarnet.pl
post
Post #2





Grupa: Zarejestrowani
Postów: 74
Pomógł: 4
Dołączył: 7.03.2008

Ostrzeżenie: (0%)
-----

nie jestem ekspertem i nigdy nie bede, zapewne z braku czasu i zdolnosci

Sabistik
niescislosc z mojej strony, juz wyjasniam, szyfrowanie hasla na lini user-serwer ma na celu ukrycie prawdziwego hasla ktorego przechwycenie pozwoliloby na zwykle zalogowanie sie jako uzytkownik, odnosnie proby zalogowania sie z podsluchanym haslem rowniez sie zgodze, jest to naturalny krok al enie taki oczywisty - nie wiem czy to powszechne ale ja nie pozwalam na odwolanie do pliku obslugujacego proces logowania z innego adresu anizeli adres formularza logowania (dostep do domena.pl/loguj_exe.php ma tylko plik domena.pl/index.php) stad moja teza, brak takiego ograniczenia naturalnie pozwoli na napisanie skryptu ktory wysle dane przez GET lub POST z innej domeny do mojego skryptu logowania co skompromituje caly system. Ograniczenie mozna zmniejszyc do jakiegolwiek pliku nalezacego do dopuszczonej domeny, ciagle pozstaje bezpieczne - jesli uwazasz ze nie, z pokora przyjme nauke
zauwaz ze przy jawnym przesylaniu hasla, podsluchiwacz zna login i haslo logujacego i moze skorzystac z formularza logowania na domena.pl, w przypadku zakodowania go w JS musi znac niezaszyforwane haslo aby JS moglo je zaszyfrowac i wyslac, ktos moze krzyczec ze strona wymagajaca JS to amatrostwo, no coz, taki koszt mojego bezpieczenstwa jestem w stanie zaplacic - chetnie poznam mozliwe luki tej metody, stosujemy ja z powodzeniem w firmie i dziala.. mam nadzieje!

l0ud
artykul to dobry przyklad analizy sesji ale jak zauwazysz oni odradzaja poleganie "wylacznie na sprawdzaniu ip" a nie odradzaja tego calkowicie - sprawdzanie ip + przegladarki + dodatkowej zmiennej daje duzo wieksze szanse zabezpieczenia id sesji niz jedna z opcji samodzielnie. temat sesji jest bardzo szeroki a to o czym rozmawiamy to zaledwie czubek gory lodowej, kazdy kto choc troche wglebial sie w bezpieczenstwo sesji wie ze to watek na osobna dyskuje - nie bylo moim zamiarem narzucanie sie z metoda zabezpieczania ani opisana jej, ale czytajac post rzucil mi sie w oczy ten szczegol w wywolaniu sesji wiec odpisalem. zgadzam sie , na bepzieczenstwo sesji sklada sie wiele czynnikow, konfoguracja php, prawa w systemie, miejsce przechowywania sesji i sporo wiecej rzeczy, ba nawet kod obslugi logowania sesji jest dosc dlugi i kazdy ma swoj, moim zamiarem bylo raczej zasygnalizowac problem i pokazac przynajmniej to minimalne zabezpieczenie ktore powinno sie stosowac

nie wiem czy to co napisalem da sie odczytac bo sam sie pogubilem stylistyczno-gramatycznie, mam nadzieje ze merytorycznie ujalem moje zdanie i metode w tej odpowiedzi

pozdrawiam
Go to the top of the page
+Quote Post

Posty w temacie
- paffcio87   [PHP] przekazywanie ostrzeżen ze skryptu logującego do formularza   2.04.2008, 19:08:48
- - wlamywacz   Człowieku prima aprilis było wczoraj... [PHP] pob...   2.04.2008, 19:18:24
- - paffcio87   Witam ponownie sorki, że dopiero teraz odpisu...   4.04.2008, 15:50:31
- - wlamywacz   Zrób tak i powiedz czy działa: [PHP] pobierz, plai...   4.04.2008, 18:28:44
- - net-pl   Biała strona - Bo dałeś exit(); Buforowania nie da...   5.04.2008, 08:52:24
- - paffcio87   Oki wygląda na to, że działa .Tylk...   6.04.2008, 20:13:44
- - wlamywacz   Może klikniesz pomógł ; p Jeśli dane ok -> prz...   7.04.2008, 14:48:07
- - guitarnet.pl   jak juz piszesz logowanie to: - poczytaj o sessio...   8.04.2008, 04:32:51
- - Sabistik   Ja troche OT ale... Cytat- zauwazylem tez ze przes...   8.04.2008, 19:47:49
- - l0ud   Cytat- poczytaj o session hijacking - konieczni es...   8.04.2008, 20:11:57
- - wlamywacz   Ogólnie dla mnie herezja i spam raport   8.04.2008, 21:04:08
- - guitarnet.pl   1) kontrola ip podczas logowania to juz podstawa b...   8.04.2008, 21:12:12
|- - Sabistik   Cytat(guitarnet.pl @ 8.04.2008, 22:12...   8.04.2008, 21:27:01
- - l0ud   guitarnet.pl, nie zrozumiałeś Sebastik a...   8.04.2008, 21:25:31
- - wlamywacz   guitarnet.pl Próbujesz robić z siebie eksperta jed...   8.04.2008, 21:33:48
- - guitarnet.pl   nie jestem ekspertem i nigdy nie bede, zapewne z b...   8.04.2008, 22:18:58
- - Sabistik   Cytatnie wiem czy to powszechne ale ja nie pozwala...   8.04.2008, 22:52:17
- - paffcio87   Hehe widze, że prosząc Was o pomoc wywołałem niezł...   8.04.2008, 23:22:13
- - Kicok   Myślę, że hash'owanie hasła po stronie przeglą...   9.04.2008, 14:05:34
- - wlamywacz   CytatNie ma też problemu z przeglądarkami w któryc...   9.04.2008, 16:19:12
- - Kicok   CytatChyba nie przemyślałeś tego co napisałeś... ...   13.04.2008, 20:58:17
- - Babcia@Stefa   Moim zdaniem najlepiej sprawdzać utworzoną zmienną...   14.04.2008, 06:27:36

« Następny starszy · PHP · Następny nowszy »
 

Reply to this topicStart new topic
1 Użytkowników czyta ten temat (1 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Przełącz na: Linearny+ · Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Aktualny czas: 16.10.2025 - 18:11
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn