Problem ze skryptem logowanie Opcje

[sQQuil]

Witajcie. Mam problem ze skryptem logowania i tworzenia sesji w mojej aplikacji php. Tworzę formularz w którym podaję login i hasło i wysyłam POSTem do adresu login.php w którym wykonywany jest skrypt klasy ZalogujNaStronie(). Wszystko działa poprawnie tzn. loguje sie i tworzy sesję ale kiedy ktoś poda błędne dane wiśnie na login.php i nic sie nie dzieje Walczę z tym od wczoraj niestety bez skutku Może któremuś z kolegów/koleżanek uda się znaleść błąd

login.php

[PHP] pobierz, plaintext 
<?php session_start(); ?>
<?php
 
	if(file_exists("./class/db_connecton.php"))
	{
		include("./class/db_connecton.php");
	}
	else
	{
		echo 'Nie odnaleziono plików konfiguracyjnych';
		exit();
	}
 
	$login = $_POST['login'];
	$password = $_POST['password'];
 
	$con = new PolaczZBaza();
	$con->LogowanieNaStronie($login, $password);
 
 
?>
[PHP] pobierz, plaintext 

funkcja logowania

[PHP] pobierz, plaintext 
			function LogowanieNaStronie($login, $password)
			{
				$this->login = $login;
				$this->password = $password;
 
				if(!$this->login || !$this->password)
			{
				echo 'Nie podałes wszystkich danych';
				exit();
			}
 
			$this->Connection();
 
			$this->query = mysql_query('SELECT * from dopalamy_xferxd.ibf_members where members_l_username="'.$this->login.'"');
 
		while($this->tete = mysql_fetch_array($this->query))
			{
					$this->passwd = $this->password;
					$this->salt = $this->tete['members_pass_salt'];
					$this->hashpass = (md5(md5($this->salt).md5($this->passwd)));
 
				$this->zapytanie = mysql_query('SELECT * from dopalamy_xferxd.ibf_members where members_l_username="'.$this->login.'" AND members_pass_hash="'.$this->hashpass.'" limit 1') or die (mysql_error());
				//echo $this->zapytanie;
				while($this->wynik = mysql_fetch_array($this->zapytanie))
					{
				{
				if($this->login != $this->wynik['members_l_username'] && $this->hashpass != $this->wynik['members_pass_hash'])
							{
								echo 'Coś poszło nie tak';
							} 
					else
							{
								$_SESSION['zalogowany'] = $this->login;
								echo '<script>window.location.href="index.php";</script>';
							}
				}	 		
 
 
			}
					}
 
			}
[PHP] pobierz, plaintext 

bardzo proszę o pomoc

[com]

[PHP] pobierz, plaintext 
if(!$this->login || !$this->password)
[PHP] pobierz, plaintext 

skąd wy to bierzecie? empty

[PHP] pobierz, plaintext 
	echo '<script>window.location.href="index.php";</script>';
[PHP] pobierz, plaintext 

błagam header

[Spawnm]

login.php - nie sprawdzasz czy $_POST zostało nadesłane, powinieneś.
if($_POST){
//operacje na $_POST
}
Funkcja logowania - podatność na sql injection, bardzo dziwna metoda autoryzacji.
mysql_real_escape_string
$bindPass = md5($this->salt . $this->passwd);
mysql_query("SELECT id FROM user WHERE name='$bindName' AND pass='$bindPass' limit 1");
Zainteresuj się PDO.

[com]

[PHP] pobierz, plaintext 
$this->hashpass = (md5(md5($this->salt).md5($this->passwd)));
[PHP] pobierz, plaintext 

naprawdę? polecam http://forum.php.pl/index.php?showtopic=44...t=0&start=0

Spawnm ubiegłeś mnie z tym

Ten post edytował com 12.10.2013, 21:13:33

[sQQuil]

Podwójne hashowanie nie jest moim pomysłem. Musiałem skorzystać z bazy danych userów która została mi dostarczona a tam jest tak właśnie rozwiązane uwierzytelnianie. Bardzo dziękuję, za udzielone wskazówki szczególnie za te o nadesłaniu POST'a postem a nie innym sposobem oraz o sql injection.

Dopiero się uczę więc mogę takich rzeczy nie wiedzieć Wieczorkiem zobaczę czy udzielona przez was rady rozwiążą mój problem i dam znać. Z góry dziękuję.

P.S. dziwi mnie natomiast dlaczego kiedy zmieniam mysql_fetch_array na mysql_fetch_rows lub num_rows żeby sprawdzić ilość zwróconych wierszy skrypt zachowuje się tak samo i nie albo loguje albo wiśnie


P.S.S jeżeli chodzi o header to oczywiście chciałem go użyć ale musiałem znaleść alternatywę go hosting na którym siedzi aplikacja nie uznaje headera i wywala akrypt :/ Aż tak głupi nie jestem

Pozdrawiam

Ten post edytował sQQuil 16.10.2013, 09:49:58

[Turson]

jeżeli chodzi o header to oczywiście chciałem go użyć ale musiałem znaleść alternatywę go hosting na którym siedzi aplikacja nie uznaje headera i wywala akrypt :/ Aż tak głupi nie jestem

ob_start(); na poczatku dokumentu i ob_end_flush(); na koncu