PHPportalen :: Visa Ämne - "Maltes login" med saltade lösenord

"Maltes login" med saltade lösenord

PHPportalen Forum Index » Tips och Trix

Lägg ett bokmärke på hela tråden

Gå till sida Föregående 1, 2, 3, 4, 5, 6, 7, 8, 9, 10 Nästa

Visa föregående ämne :: Visa nästa ämne

Startad av:

Meddelande

brkkjn

Medlem i: 5391 dagar

Status: Offline

#607984

Skrivet: 2008-10-29 10:15 Ämne: Byta lösenord

Nu är amatören här igen Crying or Very sad

Jag tänkte jag skulle använda mig av lite säkrare lösenord än klartext i databasen, för det får man ju inte ha har jag förstått.

Så jag har petat lite i den här lösningen och fått till det så det funkar, men sedan skulle jag ju vara lite duktig och låta inloggad användare kunna byta lösenord. Nu händer det grejor ska jag säga.

Det går utmärkt att byta lösenord, det har jag kollat i db. Men sedan när man skall logga in igen så fungerar inte det nya lösenordet ?

Varför??? Jag använder ju samma salt som vid inloggning....förklaring finns säkert och är säkert självklar för den som vet, men jag fattar ingenting.

pass.php

PHP:

<?php

session_start(); // Alltid överst på sidan

include "../conn.php"; // Databasanslutningen

include "../functions.php"; // Funktioner

$a = $_SESSION['sess_user'];

10:

if (isset($_POST['submit'])){

11:

12:

$_POST = db_escape($_POST);

13:

14:

// Tag bort eventuella blanksteg i början eller slutet

15:

foreach($_POST as $key => $val){

16:

$_POST[$key] = trim($val);

17:

}

18:

19:

//Kolla efter tomma fält

20:

if (empty($_POST['passwd']))

21:

{

22:

$reg_error[] = 0;

23:

}

24:

25:

// Kolla så att lösenorden stämmer överrens

26:

if ($_POST['passwd'] != $_POST['passwd2'])

27:

{

28:

$reg_error[] = 1;

29:

}

30:

31:

// Inga fel? Spara och logga in samt skicka till välkomstsida

32:

if (!isset($reg_error)) {

33:

34:

// Salta lösenordet

35:

$passwd = safepass($_POST['passwd']);

36:

$sql = "UPDATE members SET pass='$passwd' WHERE user='$a'";

37:

mysql_query($sql) or die("Det gick inte att byta lösenord !");

38:

39:

header("Location: logout.php");

40:

exit;

41:

42:

}

43:

44:

} else {

45:

46:

// Sätt variabler för tomt formulär

47:

for ($i=0; $i<1; $i++) {

48:

$back[$i] = "";

49:

}

50:

51:

}

52:

$error_list[0] = "Alla fält är inte infyllda";

53:

$error_list[1] = "Lösenorden stämmer inte överrens";

54:

55:

56:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

57:

<html>

58:

<head>

59:

60:

content="text/html; charset=iso-8859-1">

61:

<title>Byta lösenord</title>

62:

</head>

63:

<body>

64:

<h3>Byta Lösenord</h3>

65:

<?php

66:

if (isset($reg_error)){

67:

68:

echo "Något blev fel:<br>\n";

69:

echo "<ul>\n";

70:

for ($i=0; $i<sizeof($reg_error); $i++) {

71:

echo "<li>{$error_list[$reg_error[$i]]}</li>\n";

72:

}

73:

echo "</ul>\n";

74:

75:

$back[0] = stripslashes($_POST['user']);

76:

$back[1] = stripslashes($_POST['name']);

77:

}

78:

79:

80:

81:

82:

83:

<tr>

84:

85:

<tr>

86:

<td>Lösenord:</td>

87:

88:

</tr>

89:

90:

<tr>

91:

<td>Repetera lösenord:</td>

92:

93:

</tr>

94:

95:

<tr>

96:

97:

98:

</td>

99:

</tr>

100:

101:

</table>

102:

</form>

103:

104:

</body>

105:

</html>

106:

Till toppen på sidan

Azreal
Administratör

Medlem i: 5183 dagar
Från: Uppsala, bor i Göteborg
Status: Offline

#607998

Skrivet: 2008-10-29 11:48 Ämne:

Kikade lite hur skriptet fungerade och den använder sig utav användarnamnet tillsammans i saltningen. Ser inte att du gör det i pass.php.

_________________
Konsultation via PM, inte gratis.

Till toppen på sidan

brkkjn

Medlem i: 5391 dagar

Status: Offline

#608014

Skrivet: 2008-10-29 13:28 Ämne:

Det trodde jag fanns med i filen functions.php som includas i början?
Det är ju samma fil som används när användaren registrerar sig.

functions.php

PHP:

<?php

// Sätt variabeln $password till $_POST['passwd']

$password = mysql_real_escape_string($_POST['passwd']);

function safepass($password)

{

$username = strtolower($_POST['user']);

10:

// Sätt variabeln $username till $_POST['user']

11:

$username = mysql_real_escape_string($username);

12:

13:

14:

// Statiskt salt som innehåller

15:

// krångliga tecken

16:

$salt = "%&/#¤%/()=??`@$£";

17:

18:

// Kryptera användarnamn+salt till

19:

// ett dynamiskt lösenord som är

20:

// olika för varje användare även

21:

// om flera har samma lösenord

22:

$dynSalt = sha1($username.$password.$salt);

23:

24:

// Kryptera den dynamiska salten

25:

// en extra gång med sha1

26:

return sha1($dynSalt);

27:

28:

29:

}

30:

31:

Eller det kanske måste skickas med igen?
Blir lite osäker där nu, strtolower har jag inte använt tidigare.

Till toppen på sidan

Azreal
Administratör

Medlem i: 5183 dagar
Från: Uppsala, bor i Göteborg
Status: Offline

#608017

Skrivet: 2008-10-29 13:35 Ämne:

Titta i ditt formulär, där finns inget som heter 'user'. Därför existerar inte $_POST['user'] därför blir det olika resultat. Sen tycker jag inte den där funktionen verkar vara speciellt smart gjord.

_________________
Konsultation via PM, inte gratis.

Till toppen på sidan

brkkjn

Medlem i: 5391 dagar

Status: Offline

#608020

Skrivet: 2008-10-29 13:44 Ämne:

Så rätt så rätt, men jag sa ju att jag var amatör, tack ska du ha Laughing

nya pass.php

PHP:

<?php

session_start(); // Alltid överst på sidan

include "../conn.php"; // Databasanslutningen

include "../functions.php"; // Funktioner

$a = $_SESSION['sess_user'];

10:

if (isset($_POST['submit'])){

11:

12:

$_POST = db_escape($_POST);

13:

14:

// Tag bort eventuella blanksteg i början eller slutet

15:

foreach($_POST as $key => $val){

16:

$_POST[$key] = trim($val);

17:

}

18:

19:

//Kolla efter tomma fält

20:

if (empty($_POST['passwd']))

21:

{

22:

$reg_error[] = 0;

23:

}

24:

25:

// Kolla så att lösenorden stämmer överrens

26:

if ($_POST['passwd'] != $_POST['passwd2'])

27:

{

28:

$reg_error[] = 1;

29:

}

30:

31:

// Inga fel? Spara och logga in samt skicka till välkomstsida

32:

if (!isset($reg_error)) {

33:

34:

// Salta lösenordet

35:

$passwd = safepass($_POST['passwd']);

36:

$sql = "UPDATE members SET pass='$passwd' WHERE user='$a'";

37:

mysql_query($sql) or die("Det gick inte att byta lösenord !");

38:

39:

header("Location: logout.php");

40:

exit;

41:

42:

}

43:

44:

} else {

45:

46:

// Sätt variabler för tomt formulär

47:

for ($i=0; $i<1; $i++) {

48:

$back[$i] = "";

49:

}

50:

51:

}

52:

$error_list[0] = "Alla fält är inte infyllda";

53:

$error_list[1] = "Lösenorden stämmer inte överrens";

54:

55:

56:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

57:

<html>

58:

<head>

59:

60:

content="text/html; charset=iso-8859-1">

61:

<title>Byta lösenord</title>

62:

</head>

63:

<body>

64:

<h3>Byta Lösenord</h3>

65:

<?php

66:

if (isset($reg_error)){

67:

68:

echo "Något blev fel:<br>\n";

69:

echo "<ul>\n";

70:

for ($i=0; $i<sizeof($reg_error); $i++) {

71:

echo "<li>{$error_list[$reg_error[$i]]}</li>\n";

72:

}

73:

echo "</ul>\n";

74:

75:

$back[0] = stripslashes($_POST['user']);

76:

$back[1] = stripslashes($_POST['name']);

77:

}

78:

79:

80:

81:

82:

83:

<tr>

84:

85:

</tr>

86:

87:

<tr>

88:

<td>Lösenord:</td>

89:

90:

</tr>

91:

92:

<tr>

93:

<td>Repetera lösenord:</td>

94:

95:

</tr>

96:

97:

<tr>

98:

99:

100:

</td>

101:

</tr>

102:

103:

</table>

104:

</form>

105:

106:

</body>

107:

</html>

108:

Men funktionen är det inte jag som gjort utan det är ju den som finns i den här tråden, vad är det för fel på den då?

Till toppen på sidan

smekfis

Medlem i: 4215 dagar

Status: Offline

#609295

Skrivet: 2008-11-05 12:27 Ämne: Thumbs up!

Säkert och fint, tack!

Till toppen på sidan

KeTonic

Medlem i: 4010 dagar

Status: Offline

#616267

Skrivet: 2008-12-21 18:49 Ämne:

WizKid skrev:

beepbeep: Det beror på att $_POST['passwd'] inte finns

Vad är det som orsakar detta? själva passwd ska väl användas för att man ska kunna logga in?

Till toppen på sidan

Novocain

Medlem i: 5496 dagar
Från: Sundsvall
Status: Offline

#617147

Skrivet: 2008-12-29 23:55 Ämne:

har kopierat alla filer från början av scriptet: men får dessa fel:

Warning: mysql_result(): supplied argument is not a valid MySQL result resource in /home/web/domains/domains/public_html/register.php on line 25

Warning: Cannot modify header information - headers already sent by (output started at /home/web/domains/domain/public_html/register.php:25) in /home/web/domains/domain/public_html/register.php on line 50

line 21-26:

KOD:

// Kolla om användarnamnet är upptaget

$sql = "SELECT COUNT(*) FROM members WHERE user='{$_POST['user']}'";

$result = mysql_query($sql);

if (mysql_result($result, 0) > 0) {

$reg_error[] = 1;

}

rad 48-51

KOD:

$_SESSION['sess_id'] = mysql_insert_id();

$_SESSION['sess_user'] = $_POST['user'];

header("Location: welcome.php");

exit;

Någon som kan se ett omdelbart fel?

_________________
Domainz.se äntligen lanserad!!

Till toppen på sidan

bds

Medlem i: 4547 dagar
Från: Vallentuna
Status: Offline

#617149

Skrivet: 2008-12-30 00:17 Ämne:

or die (mysql_error()); efter din query, du får inga fel då?

Till toppen på sidan

gothenburg

Medlem i: 4649 dagar
Från: Sverige
Status: Offline

#617181

Skrivet: 2008-12-30 11:21 Ämne:

du kan inte köra en 'redirect' efter HTML-kod.
header("Location: welcome.php");

Novocain skrev:

_________________
Vem får din röst i höst? | Enkelt loginsystem | Enkelt paging-system

Till toppen på sidan

Jirendi

Medlem i: 4132 dagar
Från: Sweden, Stockholm
Status: Offline

#620929

Skrivet: 2009-01-22 21:22 Ämne:

Prövade detta och använder koden helt orginal men jag får detta felmeddelande överst på sidan. Notice: Undefined index: passwd in C:\Wampserver\www\wtest\functions.php on line 4 hur fixar jag det?

Till toppen på sidan

PhpGrabben

Medlem i: 5022 dagar
Från: Västerås
Status: Offline

#621185

Skrivet: 2009-01-24 14:36 Ämne:

Jag har nu fått det och fungera efter 10 minuters tweakande och undrar hur säkert det egentligen är? Har en väldigt lång saltning och det ser onekligen säkert ut, men hur säkert är det? Går det att dekryptera om man har koden?

Till toppen på sidan

Peppe L-G

Medlem i: 4666 dagar
Från: Mullsjö
Status: Offline

#621188

Skrivet: 2009-01-24 14:55 Ämne:

sha1 krypterar inte en sträng, så jag skulle bli väldigt förvånad ifall någon lyckas dekrypterar den. Dessutom så spelar det nog ingen större roll ifall den statiska saltningen är 10 eller 100 tecken lång, bara den inte består utav några få tecken. Du kan läsa tråden Vanliga säkerhetshål och lösningar om du vill ha mer information.

Till toppen på sidan

PhpGrabben

Medlem i: 5022 dagar
Från: Västerås
Status: Offline

#621189

Skrivet: 2009-01-24 15:00 Ämne:

Om någon vet vad min $salt är för något, kan dom då få ut mitt lösenord osaltat?

KOD:

dd3411589d6a611dadd508e820866dc4f0df6ee7

Till toppen på sidan

Peppe L-G

Medlem i: 4666 dagar
Från: Mullsjö
Status: Offline

#621191

Skrivet: 2009-01-24 15:17 Ämne:

Man kan inte dekryptera en hashad sträng, vilket betyder att man inte kan räkna ut orginalsträngen ifrån en hashad sträng, men man kan alltid gissa/testa sig fram. Ifall du vill veta varför man saltar lösenorden så får du läsa tråden som jag länkade till.

Till toppen på sidan

Visa tidigare inlägg:

Gå till sida Föregående 1, 2, 3, 4, 5, 6, 7, 8, 9, 10 Nästa

PHPportalen Forum Index » Tips och Trix

Du kan inte skapa nya inlägg i det här forumet
Du kan inte svara på inlägg i det här forumet
Du kan inte ändra dina inlägg i det här forumet
Du kan inte ta bort dina inlägg i det här forumet
Du kan inte rösta i det här forumet
Du kan inte bifoga filer i detta forum
Du kan inte ladda ner filer från detta forum

Kontakta oss på adressen: info@phpportalen.net
Webbplatsen bygger i grunden på phpBB © 2001, 2002 phpBB Group

Modifieringar har senare gjorts i systemet av PHPportalen
Sid och logotypdesign skapad av Daren Jularic