Neberie heslo

maťo* · Napísal maťo*: 19.07.2012 11:41

Nazdar, mám urobenu registraciu v ktorej som si heslo ošetril cez sha1 a salt. Registracia prebehne uspesne, vsetko je v databaze tak ako som chcel ale kazde prihlasenie je neuspesne. Na skusku som nechal prihlasit len podla emailu, bez hesla a islo to. Heslo proste z tej databazy nevytiahne. Takze predpokladam, ze chyba je niekde medzi MySQL a prihlasovacim skriptom. Nizsie hadzem casti kodu, dakujem.

registracia.php

Kód:

...
$salt = sha1(rand());
$heslo = sha1($heslo.$salt);

$add = "INSERT INTO uzivatelia (mail, heslo, meno) VALUES ('$mail', '$heslo', '$meno')";
...

prihlasit.php

Kód:

...
$mail = mysql_real_escape_string($_POST['mail']);
$heslo = mysql_real_escape_string($_POST['heslo']);

$sql = "SELECT * FROM ".$tbl_name." WHERE mail ='".$mail."' and heslo='".$heslo."'";
$result = mysql_query($sql);
$pocet_riadkov = mysql_num_rows($result);
...

killer · Napísal **killer**: 19.07.2012 11:47

Ten salt musíš vymyslieť nejako inak. Totiž pri prihlasovaní zadáš napríklad heslo 12345, sha1() odtlačok je 8cb2237d0679ca88db6464eac60da96345513964.
Ale ak sa s týmto heslom zaregistruješ, pridáš na koniec rand()om string so sha1() a to už sa zhodovať nebude.

Názorná ukážka, spusti si niekde na test tento kód:

Kód:

<?php
   $string = "12345";
   $salt = sha1(rand()); // tu vytvoríme sha-salt
   $sha = sha1($string); // tu sha nášho super hesla
   $result = $sha.$salt; // spojíme podľa tvojho postupu
      echo "Naše supertajné heslo: ".$string;
      echo "<br />SHA1 zapísaného stringu: ".$sha;
      echo "<br />SHA1 saltu: ".$salt;
      echo "<br />A výsledok: ".$result;
      // zdá sa ti to rovnaké?
?>

Takže pochopiteľne ti tabuľka vracia nulový počet riadkov.

maťo* · Napísal autor témy maťo*: 19.07.2012 11:57

Ďakujem za pripomienku, vyriesim to. Na skusku som odstranil cely $salt = sha1(rand()); a nechal som len zahashovane heslo a problem je stale rovnaky. Stale mi vypisuje 0 riadkov v databaze.

Este doplnim ze momentalne skusam na localhoste, nemoze byt problem v tom?

nBXXL · Napísal **nBXXL**: 19.07.2012 12:00

pretože pri porovnávaní zadané heslo nehashuješ ale v tabuľke máš uložené zahashované heslo

maťo* · Napísal autor témy maťo*: 19.07.2012 12:01

Heslo mám hashovať aj v prihlasovacom skripte? Ako som totalny zaciatocnik ale toto som este nikde nevidel. V kazdom pripade dakujem za radu, idem skusit

// Ešte raz dakujem, funguje to. Este otazka na zaver: je to zdrave riesenie?

nBXXL · Napísal **nBXXL**: 19.07.2012 12:06

tak logicky $heslo sa nemôže rovnať sha1($heslo).. a čo tým myslíš zdravé riešenie?

maťo* · Napísal autor témy maťo*: 19.07.2012 12:08

Máš pravdu. Nejak mi zlyhala logika. Zdavym riesim som myslel ci je to standardny postup, bezproblemovy.

killer · Napísal **killer**: 19.07.2012 12:12

Je to jednoduché a relatívne účinné riešenie. Záleží však od toho, čo týmto prihlásením zabezpečíš a ako čo najlepšie zabezpečíš, aby prihlásený užívateľ bol ozaj ten, za koho sa vydáva - to je takmer vždy ťažšie ako overenie správnosti samotného hesla pri prihlasovaní.
Dobrá rada do budúcnosti: Píš to tak, ako keby si za každým rohom čakal užívateľa, ktorý ti bude chcieť nabúrať databázu.

walther · Napísal **walther**: 19.07.2012 12:41

Poradím ti, pozri Google ohľadom hashovania a bezpečnosti... Možno prídeš na to, že nemusíš vymýšľať postupy úplne odznovu.

http://crackstation.net/hashing-securit ... sourcecode
http://stackoverflow.com/questions/6017 ... ion-in-php

Neberie heslo

Podobné témy