Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [PHP] Logowanie i rejestracja....zabezpieczenie
king
post 16.08.2008, 13:36:40
Post #1





Grupa: Zarejestrowani
Postów: 31
Pomógł: 0
Dołączył: 20.07.2008

Ostrzeżenie: (0%)
-----

Witam!
Przeczytalem caly temat o obronie przed sql injection, ale jest tak zasmiecony ze malo co sie dowiedzialem i nie wiem nadal jak zabezpieczyc moj skrypt...
Czy moglby mi ktos podpowiedziec co mam zrobic, aby moje skrypty byly w miare bezpieczne?
Co myslicie o tym skrypcie http://hacking.pl/5845?

logowanie
[PHP] pobierz, plaintext 
  1. <?php
  2. ob_start();
  3. session_start();
  4. //inkluduje plik do bazy
  5.  
  6. require_once('config/conf.php');
  7.  
  8.  
  9. //Laczenie z baza
  10. $dbc = @mysql_connect ($dbhost, $dbuser, $dbpass) or die ('Nie 
  11. moge połączyć sie z bazą danych. Przepraszamy z kłopoty');
  12. mysql_select_db ($dbname) or die ('Problemy z baza danych. 
  13. Przepraszamy z kłopoty');
  14. echo mysql_error();
  15.  
  16. //znalazlem taka funkcje
  17. 	function usun($data){
  18.  
  19. 		GLOBAL $dbc;
  20. 	  if (ini_get('magic_quotes_gpc')){
  21. 		$data = stripslashes($data);
  22. 	  }
  23. 	   return mysql_real_escape_string($data, $dbc);
  24. 	}
  25. ?>
  26.  
  27. <html>
  28. <head>
  29.   <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2" />
  30.   <title>Logowanie</title>
  31. </head>
  32.  
  33.  
  34.  
  35. <form method="post" action="logowanie.php">
  36. <input type="text" name="login" /><br>
  37. <input type="password" name="haslo" /><br>
  38. <input type="submit" name="submit" value="zaloguj sie" />
  39. </form>
  40.  
  41.  
  42. <?php
  43.  
  44. $login=$_POST['login'];
  45. $haslo=$_POST['haslo'];
  46.  
  47. if (isset($_POST['submit'])){
  48. if (empty ($_POST ['login']))
  49. 	{
  50. 		$message = 'Nie podales loginu.';
  51. 		$login = FALSE;
  52. 		echo $message;
  53. 	}
  54. else{
  55. 	  $login = usun($_POST['login']);
  56. }
  57. if (empty ($_POST ['password']))
  58. 	{
  59. 		$message = 'Nie podales hasla.';
  60. 		$password = FALSE;
  61. 		echo $message;
  62. 	}
  63. else{
  64. 	  $password = usun($_POST['login']);
  65. }
  66. //  sprawdza czy jest login i haslo 
  67. if (isset($_POST['login']) && isset($_POST['haslo'])){
  68. $login = trim($_POST['login']); // z loginu usuwamy spacje
  69. $haslo = md5($_POST['haslo']); //hasło kodujemy w MD5
  70. $loguj = mysql_query ("select login,haslo from users where login='$login' and haslo='$haslo'");//pobranie z bazy loginu i hasła wpisanego w formularzu
  71. if(mysql_num_rows($loguj)==0)// sprawdzenie czy dany użytkownik istnieje w bazie 
  72. {
  73.  echo'<center> Podany login i haslo jest błędne</center>'; // jeżeli nie istnieje taki użytkownik to wyświetla błąd
  74.  exit;
  75. }
  76. else
  77. {
  78.  $_SESSION['zalogowany'] = $_POST['login']; // jeżeli istnieje taki użytkownik w bazie
  79.  Header('location: index.php');//To go przenosi
  80.  exit;
  81. }
  82. }
  83. }
  84. mysql_close();
  85. ob_end_flush();
  86. ?>
[PHP] pobierz, plaintext



rejestracja
[PHP] pobierz, plaintext 
  1. <?php
  2. if (isset($_POST['submit'])){
  3. 	require_once('config/conf1.php');
  4.  
  5.  
  6. 	if ( eregi("^[[:alpha:]._]{4,15}$", stripslashes(trim($_POST['login'])))){
  7. 							 $login = usun($_POST['login']);
  8. 	}else{
  9. 		$login = FALSE;
  10. 		$message .= '<font color="red">Proszę podać poprawny login bez cyfr!</font><br />';  // LOGIN..... PROSZE PODAC IMIE
  11. 	}
  12.  
  13.  
  14.  
  15. 	if ( eregi ("^[[:alnum:]][a-z0-9_.-]*@[a-z0-9.-]+.[a-z]{2,4}$", stripslashes(trim($_POST['email'])))){
  16. 		$email = usun($_POST['email']);
  17. 	}else{
  18. 		$email = FALSE;
  19. 		$message .= '<font color="red">Proszę poprawny podać email!!!</font><br />'; // EMAIL.... PODAC TO PROSZE
  20. 	}
  21.  
  22.  
  23. 	if ( eregi("^[[:alpha:]]{4,20}$", stripslashes(trim($_POST['pass'])))){
  24. 		if($_POST['pass'] == $_POST['pass2']){
  25. 			$haslo = usun($_POST['pass']);
  26. 		}else{
  27. 			$message .= '<font color="red">Podane hasła różnią się od siebie</font><br />';
  28. 		}
  29. 	}else{
  30. 		$message .= '<font color="red">Prosze podać hasło</font><br />';
  31. 	}
  32.  
  33.  
  34. 	if ( $login && $email && $haslo ){
  35.  
  36. 		$query = "SELECT user_id FROM users WHERE login='$login'";
  37. 		$result = @mysql_query($query);
  38.  
  39. 			// sprawdzanie czy takie konto istnienie
  40. 			if ( mysql_num_rows($result) == 0){ // jezeli nie istnieje
  41.  
  42.  
  43.  
  44. 				//dodajemy uzytkownika do bazy
  45. 				$query2 = "INSERT INTO users (login, email, haslo, data_rejestracji) VALUES ('$login', '$email', md5('$haslo'), NOW())";
  46. 				$result2 = @mysql_query($query2);
  47.  
  48. 					if ($result2){ //jezeli nie wystapily zadne bledy
  49. 						echo 'Zostałes zarejestrowany na stronie'; 
  50. 					}else{
  51. 						echo 'Ze względu na wystąpienie błędu systemowego rejestracja nie była możliwa. Przepr
    aszamy za wszelkie niedogodnościi.<br />'    ;
  52. 					}				
  53. 			}else{
  54. 				$message .= '<font color="red">Konto o podanym nicku juz istnieje</font><br />';
  55. 			}
  56.  
  57. 	}else{
  58. 		$message .= '<font color="red">Spróbuj ponownie</font><br />';
  59. 	}
  60. }	
  61. ?>
[PHP] pobierz, plaintext

prosze o pomoc
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi (1 - 5)
Mlodycompany
post 17.08.2008, 09:24:02
Post #2





Grupa: Zarejestrowani
Postów: 910
Pomógł: 44
Dołączył: 20.02.2008
Skąd: Łódź

Ostrzeżenie: (20%)
X----

wystarczy ze przy loginie i hasle dasz addslashes($zmienna); można tam jeszcze jakieś inne ceregiele i o nich masz w temacie o SQJ INJECT
Go to the top of the page
+Quote Post
king
post 17.08.2008, 09:31:48
Post #3





Grupa: Zarejestrowani
Postów: 31
Pomógł: 0
Dołączył: 20.07.2008

Ostrzeżenie: (0%)
-----

ok dzieki.....smile.gif przeczytam jeszcze raz temat i poszukam na google, mysle ze dam rade sobie to zabezpieczyc..smile.gif
Go to the top of the page
+Quote Post
-mkdes-
post 17.08.2008, 09:32:18
Post #4





Goście
Napisałem kiedyś kod do czyszczenia zmiennych POST i GET.
http://forum.php.pl/index.php?showtopic=75264&hl=
Go to the top of the page
+Quote Post
king
post 17.08.2008, 10:32:47
Post #5





Grupa: Zarejestrowani
Postów: 31
Pomógł: 0
Dołączył: 20.07.2008

Ostrzeżenie: (0%)
-----

Napisze tu moj drugi problem
otoz nie wiem jak wyswietlic dane z bazy..... tzn....

mam np kod:

LINK
LINK2
LINK3
LINK4

i chcialbym aby po nacisnieciu ktoregos z tych linkow pobieralo dane z bazy..... moze mi ktos wytlumaczyc i napisac prosty skrypt lub dac linka do takiego tutoriala....

chodzi mi o cos takiego, ze skrypt pobiera dane np z id=1 w linku 1, i id=2 z linku 2,



edit

znalazlem to w necie, tylko nie wiem jak to zamiescic u mnie....
[PHP] pobierz, plaintext 
  1. <?
  2. $result1 = mysql_query("select * from dane WHERE id = '".$_GET['id']."'");
  3. $row1 = mysql_fetch_array($result1);
  4. ?>
[PHP] pobierz, plaintext


o cos takiego mi chodzi ze jak nacisne LINK to pobiera dane gdzie id=1, i zapisuje to w zmiennej:)...... nie wiem jak skonstruowac ten link smile.gif

Ten post edytował king 17.08.2008, 10:39:09
Go to the top of the page
+Quote Post
.radex
post 17.08.2008, 10:45:43
Post #6





Grupa: Zarejestrowani
Postów: 1 657
Pomógł: 125
Dołączył: 29.04.2006

Ostrzeżenie: (0%)
-----

Cytat(king @ 17.08.2008, 11:32:47 ) *
znalazlem to w necie, tylko nie wiem jak to zamiescic u mnie....
[PHP] pobierz, plaintext 
  1. <?
  2. $result1 = mysql_query("select * from dane WHERE id = '".$_GET['id']."'");
  3. $row1 = mysql_fetch_array($result1);
  4. ?>
[PHP] pobierz, plaintext


o cos takiego mi chodzi ze jak nacisne LINK to pobiera dane gdzie id=1, i zapisuje to w zmiennej:)...... nie wiem jak skonstruowac ten link smile.gif


1. link powinien wyglądać tak:

strona.pl/strona.php?id=1

2. zapytanie jest podatne na sql injection, powinno być:

$result1 = mysql_query("select * from dane WHERE id = '".intval($_GET['id'])."'");


--------------------
blog | Tadam — minutnik do Pomodoro na Maka :)
Go to the top of the page
+Quote Post
« Następny starszy · Przedszkole · Następny nowszy »
 

Reply to this topicStart new topic
1 Użytkowników czyta ten temat (1 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Linearny+ · Przełącz na: Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Wersja Lo-Fi Aktualny czas: 14.08.2025 - 07:35
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn