[php] Skrypt logowania, Bezpieczny ? :D Opcje

[Snap]

Czy ten skrypt jest bezpieczny ? Jakieś sugestie ?

[PHP] pobierz, plaintext 
<?php
 
session_start();
 
if(isset($_POST['submit']))
 
{
 
  $test1=$_POST['login'];
 
  $test2=$_POST['haselko'];
 
  $haselko=md5($haselko);
 
  $pobierz1="SELECT * from ts_sites where nazwa='$test1' and haslo='$test2";
 
  $pobierz2=mysql_query($pobierz1) or die(mysql_error());
 
  $pobierz3=mysql_fetch_array($pobierz2);
 
  if($pobierz3)
 
  {
 
	 $_SESSION['logowanie1']=$_POST['login'];
 
	 print "Zalogowany";
  }
 
  else
 
  {
 
	print "Błędny login lub hasło";
 
  }
 
}
 
?>
[PHP] pobierz, plaintext 

Ten post edytował Snap 28.02.2007, 16:09:07

[JaRoPHP]

Sugestie:
1. Manual (http://pl.php.net/manual/pl/language.variables.php):

Poprawna nazwa zmiennej zaczyna się od litery lub znaku podkreślenia "_",

2. Do algorytmu md5(), dodałbym jeszcze jakieś "ziarno", np.:

[PHP] pobierz, plaintext 
<?php
$seed = 'JakisNapis';
$haselko=md5(md5($seed) . $haselko . $seed);
?>
[PHP] pobierz, plaintext 

3. Proponuję "oczyszczać" wszystkie zmienne otrzymane od użytkownika, np. funkcją htmlentities" title="Zobacz w manualu PHP" target="_manual.
4. Przy sprawdzeniu istnienia rekordu, skorzystałbym z funkcji mysql_num_rows" title="Zobacz w manualu PHP" target="_manual.

[Snap]

Wielkie dzięki za ziarenko fajny pomysł a te zmienne to był przykład
Jeszcze mam problem z aliasem :/ Nie wiem jak zrobić żeby adres
KOTEK.domena.pl == domena.pl/index.php?nazwa=KOTEK,
"Wildcard" mam włączony.

Ten post edytował strife 1.03.2007, 01:49:45

[Kicok]

Ale przede wszystkim zapoznaj się z tym: Temat: SQL Injection Insertion

oraz:
get_magic_quotes_gpc" title="Zobacz w manualu PHP" target="_manual
addslashes" title="Zobacz w manualu PHP" target="_manual
stripslashes" title="Zobacz w manualu PHP" target="_manual
mysql_escape_string" title="Zobacz w manualu PHP" target="_manual
mysql_real_escape_string" title="Zobacz w manualu PHP" target="_manual

[Snap]

Mam pytanie, gdzie tu jest błąd ? :

[PHP] pobierz, plaintext 
<?php
include ("connect.php");
 
 switch($HTTP_HOST) {
  $zapytanie = mysql_query ("SELECT * FROM aliasy") or
 die ("bald");
 
	case "www.".$sub.".strona.pl":
		header("Location: index.php?strona=".$sub."");
	break;
 
	default:
		print "Tu bedzie główan strona";
	break;
 
	while($rekord = mysql_fetch_array ($zapytanie)){
 
	$sub = $rekord[0];
}
}
 
?>
[PHP] pobierz, plaintext 

Proszę o pomoc

[pioteer]

Wywołaj mysql_error() i zobacz co zwróci.

[Snap]

Nic nie wywala cos w skrypcie jest nie tak

P.S.

[PHP] pobierz, plaintext 
<?php
include ("../polaczenie.php");
 
	$zapytanie = mysql_query ("SELECT * FROM aliasy") or
		die ("Blad - mysql_query");
 
 switch($HTTP_HOST) {
	case "www.".$sub.".strona.pl":
		header("Location: index.php?strona=".$sub."");
	break;
 
	default:
		print "Tu bedzie główan strona";
	break;
 
	while($rekord = mysql_fetch_array ($zapytanie)){
 
	$sub = $rekord[0];
}
}
?>
[PHP] pobierz, plaintext 

Działa

Ten post edytował Snap 28.02.2007, 18:21:24