[PHP] Login problem

#1 22.12.2012. u 23:28

Problem je u tome što kada ukucam pogrešan pw izbaci mi poruku "That user doesn't exist!", a treba izbaciti "Incorrect password"

Evo čitav kood:



Btw: kod nije završen jer sam zapeo tu, mora da je negdje kardiralna greška, s obzirom da nije zahtjevan kod!

#2 22.12.2012. u 23:41

Ne koristi loop ako selektujes samo jedan red
Ne koristi kratke php tagove
Ne koristi mysql
Koristi salt za password
[ ! ] Escape-aj input uvijek

Tako ne mozes uopste provjeriti da li je password tacan.

To sto hoces mozes izvesti tako sto selektujes pw iz tabele korisnika
SELECT pw FROM users WHERE username =...

Onda provjeris da li je pw jednak pw-u iz POSTa.
if( $post_pw == $db_pw )
{
...
}
else
{
pw nije ok
}

Inace ne preporucujem takav nacin ali kako hoces.

#3 22.12.2012. u 23:44

Procitaj malo o mysql injection 

#4 22.12.2012. u 23:48

AhmedSa je napisao/la:

Procitaj malo o mysql injection 

Kakve veze ima sad mysql injection sa mojim problemom?

Samo da kažem da nisam namjerno escape-ao inpute, samo sam za username koristio addslashes(trim(htmlentities($xxx)));

Hvala Safete 

#5 22.12.2012. u 23:58

sk4yb3n je napisao/la:

Kakve veze ima sad mysql injection sa mojim problemom?

Samo da kažem da nisam namjerno escape-ao inpute, samo sam za username koristio addslashes(trim(htmlentities($xxx)));

Hvala Safete 

htmlentities za sigurnost inputa... are you fucking kidding me :\

Onda addslashes nije nikakva zastita to nek ti je jasno jer ti opet moze stavit multibyte karakter i odradit injection.

Ako radis sa mysql -> mysql_real_escape_string
mysqli -> mysqli_escape_string ($mysqli->real_escape_string)
a za pdo imas prepare

#6 23.12.2012. u 00:04

q7eb2a je napisao/la:

htmlentities za sigurnost inputa... are you fucking kidding me :\

Onda addslashes nije nikakva zastita to nek ti je jasno jer ti opet moze stavit multibyte karakter i odradit injection.

Ako radis sa mysql -> mysql_real_escape_string
mysqli -> mysqli_escape_string ($mysqli->real_escape_string)
a za pdo imas prepare

Ma rekao sam, nisam nikakve zaštite koristio, znam escape-at  ...

btw: sta cemo onda sa xss-om?

#7 23.12.2012. u 10:42

q7eb2a je napisao/la:

Ne koristi loop ako selektujes samo jedan red
Ne koristi kratke php tagove
Ne koristi mysql
Koristi salt za password
[ ! ] Escape-aj input uvijek

Tako ne mozes uopste provjeriti da li je password tacan.

To sto hoces mozes izvesti tako sto selektujes pw iz tabele korisnika
SELECT pw FROM users WHERE username =...

Onda provjeris da li je pw jednak pw-u iz POSTa.
if( $post_pw == $db_pw )
{
...
}
else
{
pw nije ok
}

Inace ne preporucujem takav nacin ali kako hoces.

- Ne koristi mysql ?
dafuq, šta će koristiti ?
sqlite ?

#8 23.12.2012. u 15:09

MarioMaxy je napisao/la:

- Ne koristi mysql ?
dafuq, šta će koristiti ?
sqlite ?

PDO ?!
MySQLi ?!

#9 23.12.2012. u 15:16

q7eb2a je napisao/la:

PDO ?!
MySQLi ?!

- Vidiš da ima problema i sa jednostavnim kodom, ne spamuj mu mozak previše 

EDIT : i btw; ovaj gore skroz post
XSS na login formi ? dafuq

#10 23.12.2012. u 15:28

MarioMaxy je napisao/la:

- Vidiš da ima problema i sa jednostavnim kodom, ne spamuj mu mozak previše 

EDIT : i btw; ovaj gore skroz post
XSS na login formi ? dafuq

Ne moze ovdje XSS posto nije sticky forma 

#11 23.12.2012. u 15:57

MarioMaxy je napisao/la:

- Vidiš da ima problema i sa jednostavnim kodom, ne spamuj mu mozak previše 

EDIT : i btw; ovaj gore skroz post
XSS na login formi ? dafuq

Ti si brainiac 
- Ti brainiače obriši sline i povadi sve zubiće pa mi se javljaj na temi!