Sicherheitsfrage

[nevermind]

Hallo zusammen,

ich wollte igentlich nur fragen, ob der Code, den ich unten gepostet habe einigermaßen sicher ist und wenn nicht, warum nicht?
mysql_escape_string wird noch eingebaut.

function check_login($user, $pwd) {
    $sql = "Select `id` FROM `user` WHERE `bname` = '$user' AND `pwd` = '$pwd'";
    $query = mysql_query($sql) OR DIE (mysql_error());
    $result = mysql_fetch_assoc($query);
    
    if ($result) {
        header('Location: Geschützerbereich');
        $_SESSION['logged'] = 'true';
        exit;
    } else {
        echo 'Login fehlgeschlagen!';
    }
} 

[Boron]

ja, da mysql_real_escape_string so ziemlich das Wichtigste ist, würde ich es schon dazu schreiben.

aber zu der Stelle

if($result)

das Array result wird doch so oder so gesetzt - unabhängig davon ob Treffer gefunden wurden oder nicht. Also so ist dein Script nicht sicher.

Ich würds so machen:

function check_login($user, $pwd) {
    $query = mysql_query("SELECT id FROM `user`
                        WHERE bname='".mysql_real_escape_string($user)."' AND pwd='".mysql_real_escape_string($pwd)."'
                        LIMIT 1") OR DIE (mysql_error());
    if(mysql_num_rows($query) != 0) {
        header('Location: Geschützerbereich');
        $_SESSION['logged'] = true;
        exit;
    } else {
        echo 'Login fehlgeschlagen!';
    }
} 

Btw, 'true' != true

[$_Baker]

DIE (mysql_error()) 

Sollte nur zu Test bzw Debuggzwecken eingebaut werden!

$_SESSION['logged'] = 'true'; 

Ein String, obwohl es auch ein Boolean tun würde?

mysql_escape_string wird noch eingebaut.

mysql_real_escape_string wäre besser.

$sql = "Select `id` FROM `user` WHERE `bname` = '$user' AND `pwd` = '$pwd'"; 

SELECT COUNT(*) AS i

Wäre auch besser.
Dann müsstest du $result['i'] auf 0 prüfen und bei 0 das Login als fehlgeschlagen markieren. Ein anderer Vorteil wäre, das du auch überprüfen kannst, ob mehrere Nutzer mit gleichem PW und Namen existieren und entsprechend reagieren kannst^^

So, das wars erstmal^^

[nevermind]

ok, stimmt. Danke war nen denkfehler

[nevermind]

Ein anderer Vorteil wäre, das du auch überprüfen kannst, ob mehrere Nutzer mit gleichem PW und Namen existieren und entsprechend reagieren kannst^^

So, das wars erstmal^^ [/B]

DAs wird schon bei der registrierung überprüft

[unset]

Original geschrieben von Boron

    if(mysql_num_rows($query) != 0) { 

Lieber ...

    if(mysql_num_rows($query) == 1) { 

und in $_bakers Beispiel wiederum auf != 1.

[Boron]

ok. warum?

[unset]

Wenn durch was für Umstände auch immer -1 zurückgegeben wird, würdest du den User durchwinken.

[nevermind]

wäre es so richtig?

function check_login($user, $pwd) {
    $sql = sprintf("Select `id` FROM `user` WHERE 
bname='mysql_real_escape_string($user)' AND 
pwd='mysql_real_escape_string($pwd)'");
    $query = mysql_query($sql) OR DIE (mysql_error());
    
    if (mysql_num_rows($query) == 0) {
        header("Location: ".dirname($_SERVER['PHP_SELF'])."/index1.php");
        $_SESSION['logged'] = true;
        exit;
    } else {
        echo 'Login fehlgeschlagen!';
    }
} 

[$_Baker]

Um ehrlich zu sein nein, denn es würde jeden nicht registrierten Nutzer durchlassen, registrierte aber würden ausgesperrt werden

Und das man die(mysql_error()) nur zum Debuggen benutztz, habe ich schon erwähtn

[nevermind]

upps.. was so ein kleines " ! " doch ausmacht ^^

[H2O]

Original geschrieben von Boron
if($result)

das Array result wird doch so oder so gesetzt - unabhängig davon ob Treffer gefunden wurden oder nicht.

Original geschrieben von mysql_fetch_assoc()
Liefert ein assoziatives Array, das den geholten entprechenden Datensatz enthält. Sind keine weiteren Datensätze vorhanden gibt diese Funktion [COLOR=crimson]FALSE[/color] zurück.

[Screw Driver]

Was bringt dir das?

$_SESSION['logged'] = true; 

Wenn du hinterher anhand dieses Wertes prüfen willst, ob jemand dein Backend sehen darf, dann ist das unsicher. Mache es lieber an der Session-ID fest, die du nach erfolgreichem Login neu generierst.

[jahlives]

Wenn du hinterher anhand dieses Wertes prüfen willst, ob jemand dein Backend sehen darf, dann ist das unsicher

Wieso sollte das unsicherer sein?

[unset]

Verstehe ich auch nicht ... und Benutzer sehen das Backend sowieso nicht. Immer dieser Typo3-Sprech.