[PHP][MYSQL]Panel logowania php i mysql, Proszę o sprawdzenie lub próbę włamania :) Opcje

[redelek]

Witam,

Jak każdy początkujący pomimo dużej ilości dostępnych skryptów naskrobałem coś sam.
Nie ma to wyglądu bardziej chodzi mi o kod i bezpieczeństwo.

W wolnej chwili jeśli możecie zobaczcie pliki które tu przedstawię i panel działający na stronie. Jedna serdeczna prośba jeśli komuś się uda włamać to nie rozwalajcie bazy danych , ani mojego virtualnego serwera dobrze.

Logowanie do strony

plik login.php

[PHP] pobierz, plaintext 
<?php
if(isset($_POST['d56b699830e77ba53855679cb1d252da'])) {
	$polacz = @mysql_connect('localhost', 'root', '') or die ('Problemy !!');
	mysql_select_db('login');
	$zapytanie= "SELECT id, uzytkownik, haslo FROM user".
				" WHERE uzytkownik = '".$_POST['f_uzytkownik']."'".
				" AND haslo = '".md5($_POST['f_haslo'])."'; ";
	//echo $zapytanie.'<br>';
	$wynik = mysql_query($zapytanie)
	or die('Błąd zapytania do MySQL :(!!!!!!!');
 
  if (mysql_num_rows($wynik) == 1) {
		ob_start();
		session_start();
		$_SESSION['uzytkownik'] = $_POST['f_uzytkownik'];
		$_SESSION['stan'] = '1';
		$data_log=date('Y-m-d H:i:s');
		//echo "Zostaniesz przekierowany na oryginalna strone ktora wybrales...<br> ";
		$zapytanie="UPDATE user SET data_log='".$data_log."'"." WHERE uzytkownik='".$_POST['f_uzytkownik']."'; ";
		mysql_query($zapytanie);
		mysql_close();
		header("Location: adm/index.php");
 
	}else{
 
	echo "<a href=\"login.php\" style=\"text-decoration:none;\">Dane nieprawidłowe.
				 Zapisz na kartce i policz do 10 ... POPRAW ...</a>";
	}
}else{
 
echo "<form action=\"login.php\" method=\"post\" enctype=\"multipart/form-data\" name=\"login_users\" >
Uzytkownik: <input maxlength=\"50\" size=\"50\" name=\"f_uzytkownik\" type=\"text\" /><br />
Hasło: <input size=\"20\" maxlength=\"12\" name=\"f_haslo\" type=\"password\" /><br />
<input type=\"submit\" value=\"Zaloguj się\" name=\"d56b699830e77ba53855679cb1d252da\" /><br />
</form>";
}
 
?>
[PHP] pobierz, plaintext 

Plik funkcji lib.php wiem, że funkcje służą do innych celów, ale to początek.

[PHP] pobierz, plaintext 
<?php
ob_start();
session_start();
//sprawdz_login();
function sprawdz_login(){
 
If (($_SESSION['stan'] == '1') && ($_SESSION['uzytkownik'] > '')){
	  echo "OK<br>";
	  echo "Witaj <b>".$_SESSION['uzytkownik']."</b> <a href='index.php?wyloguj=tak'>Wyloguj się</a><br />";
	  //echo "<br>Jesteś na stronie Administracyjnej";
}else{
if($_SESSION["zalogowany"]==0){
	  echo "Nie masz dostępu do tej części witryny. <a href='../index.php'>Zaloguj się</a></body></html>"; 
	  exit();}
}
if($_GET["wyloguj"]=="tak"){$_SESSION["stan"]=0;
	echo "Zostałeś wylogowany z serwisu";
	//exit();
	session_destroy();
	header("Location: ../index.php");
 
	}
ob_end_flush();
}
?>
[PHP] pobierz, plaintext 

Pliki ze stronami na których już są tajne dane (index.php i rejestracja.php )

[PHP] pobierz, plaintext 
<?php
require("lib.php");
sprawdz_login();
?>
<a href="opis.php">Opis</a><br />
<a href="linki.php">Linki</a><br />
<a href="rejestracja.php">Rejestracja</a><br />
[PHP] pobierz, plaintext 

Plik Rejestracja.php

[PHP] pobierz, plaintext 
<?php
require("lib.php");
sprawdz_login();
 
echo "<font color=\"blue\"><center>STRONA Rejestracji użytkownika</center></font><br />";
 
if(isset($_POST['upload']))
{
	$imie=$_POST['f_imie'];
	$nazwisko=$_POST['f_nazwisko'];
	$e_mail=$_POST['f_email'];
	$uzytkownik=$_POST['f_uzytkownik'];
	$haslo=md5($_POST['f_haslo']);
	$tel_kontaktowy=$_POST['f_telkontaktowy'];
	$data_rej=date('Y-m-d H:i:s');
	$status='AKTYWNY';
	// łączymy się z bazą
	$polacz = @mysql_connect('localhost', 'root', '') or die ('Problemy !!');
	mysql_select_db('login');
		if(!get_magic_quotes_gpc())
		{
			$uzytkownik = addslashes($uzytkownik);
		}
 
		$query = "INSERT INTO user (imie, nazwisko, e_mail, uzytkownik, haslo, tel_kontaktowy, data_rej, data_l
o
, status ) ".
			 "VALUES ('$imie', '$nazwisko', '$e_mail', '$uzytkownik', '$haslo', '$tel_kontaktowy','$data_rej','$data_rej', '$status')";
 
		mysql_query($query) or die('Błąd dodawania rekordu :( Spróbuj ponownie');					
		//include 'include/DB_close.php';//*/
		//header("Location: index.php");
		echo "Użytkownik <b>$uzytkownik</b> został dodany do bazy.<br />".
			" Kliknij <b>Wyloguj</b> by przetestować nowe konto..<br />";
		echo "<a href=\"index.php\">Strona główna Admina</a>";
		exit;
}		
?>
<form action="rejestracja.php" method="post" enctype="multipart/form-data" name="uploadform">
Imię: <input maxlength="50" size="50" name="f_imie" type="text" /> <br />
Nazwisko: <input maxlength="50" size="50" name="f_nazwisko" type="text" /><br />
E-mail: <input maxlength="50" size="50" name="f_email" type="text" /><br />
Użytkownik: <input maxlength="50" size="50" name="f_uzytkownik" type="text" /><br />
Hasło: <input maxlength="50" size="50" name="f_haslo" type="text" /><br />
Tel. kontaktowy: <input maxlength="50" size="50" name="f_telkontaktowy" type="text" /><br />
<input value="Zarejestruj się ..." name="upload" type="submit" />
</form><br />
<a href="index.php">Strona główna Admina</a>
[PHP] pobierz, plaintext 

Całość można można potestować na Strona skryptu
użytkownik : test
hasło: test

Bardzo bym prosił o informację, czy jest on coś wart i czy drobne zmiany i będzie dobry.
Będę bardzo zobowiązany za sugestię i pomysły oraz pokazanie mi błędów ( ewentualny kod włamania (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) ).
Nie oceniajcie wyglądu bo nie o to mi chodzi. Jest to stan bardzo surowy graficznie , chodzi o KOD.

Proszę o nie karcenie mnie zbyt mocno bo się potnę (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Pozdrawiam
Redelek

Ten post edytował redelek 30.06.2008, 13:56:53

[Shili]

[PHP] pobierz, plaintext 
<?php
$zapytanie= "SELECT id, uzytkownik, haslo FROM user".
				" WHERE uzytkownik = '".$_POST['f_uzytkownik']."'".
				" AND haslo = '".md5($_POST['f_haslo'])."'; ";
?>
[PHP] pobierz, plaintext 

Radzę kodować tak, żeby nie opierać się na obecności magic_quotes. Te nie zawsze i nie wszędzie są włączone.
To samo na rejestracji - nie filtrujesz w ogóle danych pochodzących od użytkownika! Zawsze trzeba je filtrować.

Sam użytkownik addslashowany nie wystarczy, namieszać można też w emailu, albo w numerze telefonu.
Na marginesie, polecam nie addslashes, a dedykowaną pod mysql funkcję mysql_real_escape_string.

Ten post edytował Shili 30.06.2008, 14:08:48

[redelek]

Radzę kodować tak, żeby nie opierać się na obecności magic_quotes. Te nie zawsze i nie wszędzie są włączone.
To samo na rejestracji - nie filtrujesz w ogóle danych pochodzących od użytkownika! Zawsze trzeba je filtrować.

Sam użytkownik addslashowany nie wystarczy, namieszać można też w emailu, albo w numerze telefonu.
Na marginesie, polecam nie addslashes, a dedykowaną pod mysql funkcję mysql_real_escape_string.

Oki dzięki czytam i już patrzę

[Zidane]

Witam, jestem n00bkiem i jak wszystkie pliczki skopiuję na serwer to jak się próbuję rejestrować to wyskakuje mi napis "Problemy (IMG:http://forum.php.pl/style_emoticons/default/exclamation.gif) !" Proszę o pomoc, myślę że to jest związane z tym

CODE

// łączymy się z bazą

$polacz = @mysql_connect('localhost', 'root', '') or die ('Problemy (IMG:http://forum.php.pl/style_emoticons/default/exclamation.gif) ');

mysql_select_db('login');

PS Przepraszam jak coś za odkop tematu

Ten post edytował Zidane 10.08.2008, 14:10:17

[peter13135]

$polacz = @mysql_connect('host bazy danych', 'uzytkownik bazy danych', 'haslo bazy danych') or die ('Problemy (IMG:http://forum.php.pl/style_emoticons/default/exclamation.gif) ');
w miejsce uzytkownik bazy danych musisz wstawić nazwe uzytkownika bazy danych rzeczywistego, tak samo z haslem i hostem

[Zidane]

No dzieki, super ale teraz mam następny błąd: "Błąd dodawania rekordu (IMG:http://forum.php.pl/style_emoticons/default/sad.gif) Spróbuj ponownie" a zresztą sam sprawdź, www.zidane5.yoyo.pl

//Edit pomoże mi ktoś?

Ten post edytował Zidane 11.08.2008, 14:30:32