Warning: Cannot use a scalar value as an array in /home/admin/public_html/forum/include/fm.class.php on line 757

Warning: Invalid argument supplied for foreach() in /home/admin/public_html/forum/include/fm.class.php on line 770

Warning: Invalid argument supplied for foreach() in /home/admin/public_html/forum/topic.php on line 737
Форумы портала PHP.SU :: Авторизация PHP

 PHP.SU

 Программирование на PHP, MySQL и другие веб-технологии
PHP.SU Портал     На главную страницу форума Главная     Помощь Помощь     Поиск Поиск     Поиск Яндекс Поиск Яндекс     Вакансии  Пользователи Пользователи


 Страниц (1): [1]   

> Без описания
Поиск в теме | Версия для печати
DNGX
Отправлено: 15 Марта, 2012 - 18:55:29
Post Id


Новичок


Покинул форум
Сообщений всего: 16
Дата рег-ции: Март 2012  


Помог: 0 раз(а)
Здравствуйте! Написал скрипт авторизации пользователей, скажите пожалуйста нет ли уязвимостей в коде? Безопасный ли сам способ авторизации? Если нет, как его могут взломать?

PHP:
скопировать код в буфер обмена
  1. <?PHP
  2. session_name('user_id');
  4. include 'head.php';
  7. $data = mysql_fetch_array(mysql_query("SELECT * FROM `users` WHERE `login` = '".$login."';"));
  8.  
  9.  
  10. if (empty($login)){
  11. echo 'Вы не ввели логин!<br/>';
  12. include 'foot.php';
  14. }
  15.  
  16.  
  17. if (empty($pass)){
  18. echo 'Вы не ввели пароль!<br/>';
  19. include 'foot.php';
  21. }
  22.  
  23.  
  24. if($pass == $data['pass'])
  25.  
  26. {
  27.  $_SESSION['user_id'] = $data['id'];
  28. echo 'Ура! Вы авторизированы!';
  29.  
  30. }
  31.  
  32. else
  33.  
  34. {
  35.  
  36. echo 'Введены не верные данные!<br/>';
  38.  
  39. }
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46. //Кто авторизован, а кто нет?
  47. if (isset($_SESSION['user_id'])) {
  48.     echo 'Личный кабинет!';
  49. }
  50. else {
  51.     die('<form action="login.php" method="post">
  52.    <table>
  53.        <tr>
  54.            <td>Логин:</td>
  55.            <td><input type="text" name="login" /></td>
  56.        </tr>
  57.        <tr>
  58.            <td>Пароль:</td>
  59.            <td><input type="password" name="pass" /></td>
  60.        </tr>
  61.        <tr>
  62.            <td></td>
  63.            <td><input type="submit" value="Войти" /></td>
  64.        </tr>
  65.    </table>
  66. </form>');
  67. }
  68. ?>

(Отредактировано автором: 15 Марта, 2012 - 18:56:47)

 
 Top
Okula
Отправлено: 15 Марта, 2012 - 19:00:23
Post Id



Участник


Покинул форум
Сообщений всего: 1389
Дата рег-ции: Окт. 2010  


Помог: 42 раз(а)
DNGX, небезопасный. К тому же скрипт выведет ошибки Undefined
 
 Top
dzubchik
Отправлено: 15 Марта, 2012 - 20:21:53
Post Id



Гость


Покинул форум
Сообщений всего: 97
Дата рег-ции: Июль 2010  


Помог: 1 раз(а)
DNGX,пароль нужно хотя бы хешировать. Используйте md5 или sha. Ну для более надёжной защиты, ко всему этому можна добавлять соль.
 
 Top
DNGX
Отправлено: 17 Марта, 2012 - 06:31:23
Post Id


Новичок


Покинул форум
Сообщений всего: 16
Дата рег-ции: Март 2012  


Помог: 0 раз(а)
PHP:
скопировать код в буфер обмена
  1. <?PHP
  2.  
  3. session_name('user_id');
  4.  
  6.  
  7. include 'head.php';
  8.  
  10.  
  11. $pass=md5($_POST['pass']);
  12.  
  13. $data = mysql_fetch_array(mysql_query("SELECT * FROM `users` WHERE `login` = '".$login."';"));
  14.  
  15.  
  16. if (empty($login)){
  17.  
  18. echo 'Вы не ввели логин!<br/>';
  19.  
  20. include 'foot.php';
  21.  
  23.  
  24. }
  25.  
  26.  
  27. if (empty($pass)){
  28.  
  29. echo 'Вы не ввели пароль!<br/>';
  30.  
  31. include 'foot.php';
  32.  
  34.  
  35. }
  36.  
  37.  
  38. if($pass == $data['pass'])
  39.  
  40. {
  41.  
  42.  $_SESSION['user_id'] = $data['id'];
  43.  
  44. echo 'Ура! Вы авторизированы!';
  45.  
  46. }
  47.  
  48. else
  49.  
  50. {
  51.  
  52. echo 'Введены не верные данные!<br/>';
  53.  
  55.  
  56. }
  57.  
  58.  
  59. //Кто авторизован, а кто нет?
  60.  
  61. if (isset($_SESSION['user_id'])) {
  62.  
  63.     echo 'Личный кабинет!';
  64.  
  65. }
  66.  
  67. else {
  68.  
  69. die('<form action="login.php" method="post">
  70.  
  71. <table>
  72.  
  73. <tr>
  74.  
  75. <td>Логин:</td>
  76.  
  77. <td><input type="text" name="login" /></td>
  78.  
  79. </tr>
  80.  
  81. <tr>
  82.  
  83. <td>Пароль:</td>
  84.  
  85. <td><input type="password" name="pass" /></td>
  86.  
  87. </tr>
  88.  
  89. <tr>
  90.  
  91. <td></td>
  92.  
  93. <td><input type="submit" value="Войти" /></td>
  94.  
  95. </tr>
  96.  
  97. </table>
  98.  
  99. </form>');
  100.  
  101. }
  102.  
  103. ?>
  104.  
  105.  
  106.  
  107. Регистрация пользователя:
  108. $login=mysql_real_escape_string(htmlspecialchars(trim($_POST['login'])));
  109. $pass=md5($_POST['pass']);
  110. mysql_query("INSERT INTO `users` SET `login`='$login', `pass`='$pass' ;") or die(mysql_error());
  111.  
  112. echo 'Поздравляем! Вы успешно зарегистрированы.<br/>
  113. Ваш логин: <b>'.$login.'</b><br/>
  114. Ваш пароль: <b>'.$pass.'</b><br/>
  115. Для надежности, Ваши данные высланы Вам на E-mail.<br/>';



Okula, о какой ошибке вы говорите?
У меня вроде все нормально работает..
Правильно ли я сделал защиту?
Нужно ли фильтровать md5?
Возможно ли как-то сделать чтобы когда выводится текст об успешной регистрации, в строке "Ваш пароль:" выводился пароль в нормальном виде, а не в md5?
Заранее спасибо за ответы.

(Отредактировано автором: 17 Марта, 2012 - 06:36:21)

 
 Top
DNGX
Отправлено: 17 Марта, 2012 - 10:03:32
Post Id


Новичок


Покинул форум
Сообщений всего: 16
Дата рег-ции: Март 2012  


Помог: 0 раз(а)
И еще такой вопрос,
session_name('user_id'); и session_start(); должны на всех страницах быть прописаны?
 
 Top
PATCH
Отправлено: 22 Марта, 2012 - 16:55:15
Post Id



Частый посетитель


Покинул форум
Сообщений всего: 924
Дата рег-ции: Апр. 2011  


Помог: 22 раз(а)
везде где у вас должен лазить авторизованный пользователь
1) должна запускатся сессия session_start();
2) проверятся условие авторизован ли пользователь (обычно проверка существование сессии)
 
 Top
Hidalgo
Отправлено: 22 Марта, 2012 - 17:09:42
Post Id



Частый гость


Покинул форум
Сообщений всего: 245
Дата рег-ции: Февр. 2012  
Откуда: Димитровград


Помог: 1 раз(а)
PHP:
скопировать код в буфер обмена
  1. if (empty($login)){
  2. echo 'Вы не ввели логин!<br/>';
  3. include 'foot.php';
  5. }
  6.  
  7.  
  8. if (empty($pass)){
  9. echo 'Вы не ввели пароль!<br/>';
  10. include 'foot.php';
  12. }


Зачем куча таких проверок, если все делается проще?

CODE (html):
скопировать код в буфер обмена
  1. <input required name="login" value="" type="text">

required тут ключевое слово

(Отредактировано автором: 22 Марта, 2012 - 17:10:29)

 
 Top
DelphinPRO
Отправлено: 22 Марта, 2012 - 17:55:34
Post Id



Активный участник


Покинул форум
Сообщений всего: 7187
Дата рег-ции: Февр. 2012  


Помог: 353 раз(а)
Hidalgo пишет:
Зачем куча таких проверок, если все делается проще?
CODE (html):
<input required name="login" value="" type="text">
required тут ключевое слово

Клиентских проверок недостаточно. Все данные обязательно нужно проверять на сервере.


-----
Чем больше узнаю, тем больше я не знаю.
 
 Top
Мелкий Супермодератор
Отправлено: 22 Марта, 2012 - 18:17:23
Post Id



Активный участник


Покинул форум
Сообщений всего: 11926
Дата рег-ции: Июль 2009  
Откуда: Россия, Санкт-Петербург


Помог: 618 раз(а)
Hidalgo пишет:
Зачем куча таких проверок, если все делается проще?

Затем, что в идеале проверок должно быть значительно больше:
0) полный список валидации на сервере
1) желательно как можно более полная валидация на клиенте
2) если п.2 сделан средствами html5 - ещё и дублирующая валидация на JS для браузеров, не умеющих html5.


-----
PostgreSQL DBA
 
 Top
Hidalgo
Отправлено: 22 Марта, 2012 - 18:44:56
Post Id



Частый гость


Покинул форум
Сообщений всего: 245
Дата рег-ции: Февр. 2012  
Откуда: Димитровград


Помог: 1 раз(а)
DelphinPRO пишет:
Клиентских проверок недостаточно. Все данные обязательно нужно проверять на сервере.

Так никто и не спорит что данные нужно проверять на сервере. Конечно приводить к определенному типу, или с помощью регулярок на валидность введенных данных обязательно нужно.
Просто какой смысл проверять на пхп ввел пользователь логин или нет, если это можно сделать на html, а на пхп просто проверить длину и наличие запрещенных символов
(Добавление)
хотя был неправ: ослик игнорирует данный параметр. Беру свои слова обратно.

(Отредактировано автором: 22 Марта, 2012 - 18:46:04)

 
 Top
Поиск в теме | Версия для печати
Страниц (1): [1]
Сейчас эту тему просматривают: 0 (гостей: 0, зарегистрированных: 0)
« Программирование на PHP »


Все гости форума могут просматривать этот раздел.
Только зарегистрированные пользователи могут создавать новые темы в этом разделе.
Только зарегистрированные пользователи могут отвечать на сообщения в этом разделе.
  



Powered by PHP  Powered By MySQL  Powered by Nginx  Valid CSS  RSS

 
Powered by ExBB FM 1.0 RC1. InvisionExBB