Problem beim loginscript

**asp2php** · 16.03.2008, 16:58

iche sehe kein Loginscript, daher kann man nichts dazu sagen.

**Manko10** · 16.03.2008, 17:08

Ich auch nicht, aber ich kann dir jetzt schon sagen, dass du nicht lange Freude an so einem Skript haben wirst.
Informiere dich bitte mal mit der Suchmaschine deiner Wahl über "SQL Injections".

**Champ Wasili** · 17.03.2008, 13:42

sorry, das login script hab ich vergessen, hier ist es.

PHP-Code:


<?

session_start();

include 'sessionhelpers.inc.php';





if (isset($_POST['login']))



{

    $userid=check_user($_POST['username'], $_POST['userpass']);

    if ($userid!=false)

        login($userid);

    else

        echo 'Ihre Anmeldedaten waren nicht korrekt! Versuchen sie es erneut.';

}



if (!logged_in())

    echo '<form method="post" action="login.php">

        <label>Benutzername:</label><input name="username" type="text"><br>

        <label>Passwort: </label><input name="userpass" type="password" id="userpass"><br>

        <input name="login" type="submit" id="login" value="Einloggen">

    </form>';

else

    echo '<a href="logout.php">Ausloggen</a>';

echo '<p /><a href="logged_in.php">Weiter</a>';

?>

in der sessionhelpers.php stehen nur die mysql zugangsdaten.
und die logout.php löscht nur die sessionid, wenn ncoh was fehlt, einfachg sagen ich poste es dann.
Gegen sqlinjections wollte ich es schützen, nachdem es überhaupt läuft! wenn sich jemand z.b. adminrechte gibt, aber sich damit nicht einloggen kann, bringt das auch sonderlcih viel, oder?

**unset** · 17.03.2008, 13:44

Naja, den Inhalt der Funktion check_user müsste man natürlich auch sehen.

**jahlives** · 17.03.2008, 19:08

@Champ
Also erstmal würde ich nicht die MySql Fkt md5 verwenden, sondern diejenige von PHP. Sonst musst du das Passwort trotzdem noch mittels mysql_real_escape_string() entschärfen, weil es ja MySql ist, das die Daten erst zum Hash macht.
Und ja die fragliche Funktion sollte man auch noch zu Gesicht bekommen
Und ausserdem solltest du obengenannte mysql-Fkt auf alle Usereingaben anwenden, die in die Datenbank kommen.

Gruss

tobi

**jahlives** · 17.03.2008, 22:56

@Champ
Wirklich dein eigener Code, den du geschrieben hast? Der Code kommt mir irgendwie bekannt vor. Und da du nicht der dort genannte User bist habe ich so meine Zweifel.
Darum gehst du jetzt ins richtige Forum **move** zu Tutorials

**Champ Wasili** · 19.03.2008, 16:08

@ jahloves, ja es ist das eben genannte tutorial. ich hatte es nur hier geppstet, weil das loginscript ja läuft, nur das regformular hab ich aber selbstgeschrieben!
Hier die check_uer

PHP-Code:


function check_user($name, $pass)

{

    $sql="SELECT UserId

    FROM users

    WHERE UserName='".$name."' AND UserPass=MD5('".$pass."')

    LIMIT 1";

    $result= mysql_query($sql) or die(mysql_error());

    if ( mysql_num_rows($result)==1)

    {

        $user=mysql_fetch_assoc($result);

        return $user['UserId'];

    }

    else

        return false;

}

**TobiaZ** · 22.03.2008, 22:21

Nachdem du die genannten Tipps hier umgesetzt hast (was bis jetzt offensichtlich nicht erfolgt ist), prüfst du bitte mal, ob dein Registrierungsscript den korrekten Hash in der DB gespeichert hat. Die Antwort bitte hier posten, falls du dann die Lösung noch nicht finden solltest.

**Champ Wasili** · 27.03.2008, 13:07

ich kapier irgendwie nicht, wie ich
mysql_real_escape_string() einbauen muss.
etwa so:

PHP-Code:


<?php 

  include("sessionhelpers.inc.php");





mysql_query(



"INSERT INTO `users` ( `UserID` , `UserName` , `UserPass` , `UserSession` , `UserMail` , `feld` , `lp` , `Angriff` )  

VALUES 

                            ('', 

                             '".$_POST["name"]."', 

                             mysql_real_escape_string(md5('".$_POST["pass"]."')), 

                             NULL, 

                             '".$_POST["mail"]."',

                             'index2.html',

                             '15',

                             '2')"

)

or die(mysql_error());

mysql_close();



echo "Registrierung abgeschlossen!";

?>

**jahlives** · 27.03.2008, 13:49

etwa so:

Nein

PHP-Code:


//so ist das eine MySql-Funktion

$sql = "INSERT INTO tabelle (uName) VALUES('mysql_real_escape_string(blabla)')";

//korrekt wäre aber eine PHP-Funktion 

$sql = "INSERT INTO tabelle (uName) VALUES('".mysql_real_escape_string('blabla')."')";

Problem beim loginscript