• Najnowsze pytania
  • Bez odpowiedzi
  • Zadaj pytanie
  • Kategorie
  • Tagi
  • Zdobyte punkty
  • Ekipa ninja
  • IRC
  • FAQ
  • Regulamin
  • Książki warte uwagi

Czy ten kod logowania jest bezpieczny?

VPS Starter Arubacloud
0 głosów
269 wizyt
pytanie zadane 3 stycznia 2017 w PHP przez Totek Użytkownik (860 p.)

Witam formułowiczów,

Chciałbym byście ocenili kod i powiedzieli czy jest on bezpieczny i czy coś można w nim zmienić.

	session_save_path('session/');
	session_start();
	
	include 'database.php';
	
	if(isset($_POST['log_in']))
	{
		$login = $_POST['login'];
		$haslo = md5($_POST['haslo']);
		
		$user = $db -> Prepare('SELECT * FROM `uzytkownicy` WHERE `login` = :login');
		$user -> bindParam(':login', $login, PDO::PARAM_STR);
		$user -> Execute();
		$user = $user -> fetch(PDO::FETCH_ASSOC);
		if(empty($user))
		{
			header('Location: login_panel.php?error=4');
			exit;
		}
		$_SESSION['user_id'] = $user['ID'];
		$id = $user['ID'];
		$proby = $user['proby_logowania'];
		if($haslo != $user['haslo'])
		{
			if($proby == 3){
				$proby = 0;
				$db -> Exec('UPDATE `uzytkownicy` SET `try`= "'.$proby.'" WHERE `id`="'.$id.'"');
				header('Location: login_panel.php?error=6');
				exit;
			}
			else if
			{
				$probalogowania = $proby + 1;
				$db -> Exec('UPDATE `uzytkownicy` SET `try` = "'.$probalogowania.'" WHERE `id`="'.$id.'"');
			}
		}
		$_SESSION['email'] = $user['email'];
		$_SESSION['rang'] = $user['ranga'];
		$spr = $user['token'];
		if(!empty($spr))
		{
			header('Location: login_panel.php?error=7');
			exit;
		}
		$token = md5(uniqid(mt_rand(), true));
		$db -> Exec('UPDATE `uzytkownicy` SET `timelastattem` = now(), `mode` = "zalogowany", `token` = "'.$token.'" WHERE `id`="'.$id.'"');
		$_SESSION['zalogowany'] = $user['tryb'];
		header("Location: index.php?success=1");
		exit;
	}
	if(isset($_GET['logout']))
	{
		$login =  $_SESSION['user_id'];
		$trybss = 'wylogowany';
		if(isset($_GET['success']) && $_GET['success'] == 0)
		{
			$db -> Exec('UPDATE `uzytkownicy` SET `mode` = "'.$trybss.'" WHERE `id`="'.$login.'"');
			session_destroy();
			header('Location: index.php?success=6');
			exit;
		}
		if(isset($_GET['success']) && $_GET['success'] == 1)
		{
			$db -> Exec('UPDATE `uzytkownicy` SET `mode` = "'.$trybss.'" WHERE `id`="'.$login.'"');
			session_destroy();
			header('Location: index.php?success=7');
			exit;
		}
		$db -> Exec('UPDATE `uzytkownicy` SET `mode` = "'.$trybss.'" WHERE `id`="'.$login.'"');
		$db -> Exec('UPDATE `uzytkownicy` SET `token` = "" WHERE `login`="'.$id.'"');
		session_destroy();
		header('Location: index.php?success=2');
		exit;
	}
	if(isset($_POST['register']))
	{
		if(empty($_POST['login']) || empty($_POST['haslo']) || empty($_POST['haslo2']) || empty($_POST['emails']))
		{
			header('Location: register_panel.php?error=0');
			exit;
		}
		if(strlen($_POST['haslo'])<8 || strlen($_POST['haslo'])>20)
		{
			header('Location: register_panel.php?error=5');
			exit;
		}
		$login = $_POST['login'];
		$email = $_POST['emails'];
		$haslo = md5($_POST['haslo']);
		$haslo2 = md5($_POST['haslo2']);
		$klucz = md5(mt_rand());
		
		if($haslo != $haslo2)
		{
			header('Location: register_panel.php?error=1');
			exit;
		}
		
		$uzytkownicy = $db -> Prepare('SELECT `login` FROM `uzytkownicy` WHERE `login` = :login');
		$uzytkownicy -> bindParam(':login', $login, PDO::PARAM_STR);
		$uzytkownicy -> Execute();
		$uzytkownicy = $uzytkownicy -> fetchAll();
		if(!empty($uzytkownicy))
		{
			header('Location: register_panel.php?error=2');
			exit;
		}
		
		$emailek = $db -> Prepare('SELECT `login` FROM `uzytkownicy` WHERE `email` = :email');
		$emailek -> bindParam(':email', $email, PDO::PARAM_STR);
		$emailek -> Execute();
		$emailek = $emailek -> fetchAll();
		if(!empty($emailek))
		{
			header('Location: register_panel.php?error=3');
			exit;
		}
		
		$db -> Exec('INSERT INTO `uzytkownicy` VALUES ("", "", "'.$login.'", "'.$email.'", "'.$haslo.'", "wylogowany", "0", now(), "", "'.$klucz.'")');
		header('Location: register_panel.php?success=0');
	
		exit;
	}

Pozdrawiam

2 odpowiedzi

+4 głosów
odpowiedź 3 stycznia 2017 przez Arkadiusz Waluk Ekspert (287,550 p.)
wybrane 3 stycznia 2017 przez Totek
 
Najlepsza

Zamiast md5 używaj password_hash i password_verify.

Dlaczego czasem używasz bindowania, a czasem nie? Wszędzie gdzie tylko możesz binduj wartości bo np. to

$db -> Exec('INSERT INTO `uzytkownicy` VALUES ("", "", "'.$login.'", "'.$email.'", "'.$haslo.'", "wylogowany", "0", now(), "", "'.$klucz.'")');

Jest całkowicie nieodporne na sql injection.

$login = $_POST['login'];

A co jak ktoś nie prześle tego loginu przez POST? Skrypt wysypie ostrzeżenie, lepiej byłoby się przed tym zabezpieczyć.

strlen() ma problem z liczeniem polskich znaków, lepiej używać mb_strlen().

A tak ogólnie to raz nazywasz zmienne po polsku, raz po angielsku, proponowałbym zawsze robić jednolicie, po angielsku.

+1 głos
odpowiedź 3 stycznia 2017 przez operator Stary wyjadacz (10,920 p.)
Najbardziej liczy się schemat wykonywania. Mało tutaj komentarzy więc ciężko jest opisać poziom bezpieczeństwa. Co jest złe to polskie nazwy zmiennych oraz ilość prób logowania. W systemach bankowych to jest sluszne, ale czy na zwykłej stronie? 31 linijka ma syntax error. Sprawdzanie czy ktoś jest zalogowany wymaga dosyć skomplikowanego systemu jakim są gniazda.
1
komentarz 3 stycznia 2017 przez Boshi VIP (100,240 p.)
Nie tyle gniazda co architektura real time realizowana w róznoraki sposób, choć socety najlepiej się sprawdzają.

Podobne pytania

0 głosów
3 odpowiedzi 461 wizyt
pytanie zadane 31 grudnia 2016 w C i C++ przez Piredele Nowicjusz (160 p.)
+1 głos
2 odpowiedzi 1,176 wizyt
0 głosów
2 odpowiedzi 188 wizyt
pytanie zadane 4 stycznia 2016 w C# przez kuba7528 Obywatel (1,320 p.)

92,453 zapytań

141,262 odpowiedzi

319,088 komentarzy

61,854 pasjonatów

Motyw:

Akcja Pajacyk

Pajacyk od wielu lat dożywia dzieci. Pomóż klikając w zielony brzuszek na stronie. Dziękujemy! ♡

Oto polecana książka warta uwagi.
Pełną listę książek znajdziesz tutaj.

Akademia Sekuraka

Akademia Sekuraka 2024 zapewnia dostęp do minimum 15 szkoleń online z bezpieczeństwa IT oraz dostęp także do materiałów z edycji Sekurak Academy z roku 2023!

Przy zakupie możecie skorzystać z kodu: pasja-akademia - użyjcie go w koszyku, a uzyskacie rabat -30% na bilety w wersji "Standard"! Więcej informacji na temat akademii 2024 znajdziecie tutaj. Dziękujemy ekipie Sekuraka za taką fajną zniżkę dla wszystkich Pasjonatów!

Akademia Sekuraka

Niedawno wystartował dodruk tej świetnej, rozchwytywanej książki (około 940 stron). Mamy dla Was kod: pasja (wpiszcie go w koszyku), dzięki któremu otrzymujemy 10% zniżki - dziękujemy zaprzyjaźnionej ekipie Sekuraka za taki bonus dla Pasjonatów! Książka to pierwszy tom z serii o ITsec, który łagodnie wprowadzi w świat bezpieczeństwa IT każdą osobę - warto, polecamy!

...