Forum PHP.pl > [php]Problem z wyświetlaniem komunikatu o złych danych

Pomoc - Szukaj - Użytkownicy - Kalendarz

Pełna wersja: [php]Problem z wyświetlaniem komunikatu o złych danych

Flapper

25.03.2008, 19:42:41

Ten kod powinien w wypadku wpisania złego hasła wyświetlić nad formularzem "Podano złe dane!!!" Ale nie wyświetla absolutnie nic. Przy podaniu dobrego loginu i hasła jedynie loguje. Co jest nie tak?

[PHP] pobierz, plaintext 
<?php ob_start(); ?>
<?php
session_start();
session_register("zalogowany");
 
if(empty($_SESSION["zalogowany"]))$_SESSION["zalogowany"]=0;
 
require "connection.php";
connection();
 
function ShowLogin($komunikat=""){
	if($_SESSION["zalogowany"] == 0)
	{
	echo "$komunikat<br>";
	echo "<form action='index.php' method=post>";
	echo "Login: <input type=text name=login><br>";
	echo "Hasło: <input type=text name=haslo><br>";
	echo "<input type=submit value='Zaloguj!'>";
	echo "</form>";
	echo "Jeśli nie jesteś zarejestrowany, <a href='index.php?site=register'>zarejestruj się tutaj.</a>";
	}
	else
	{ 
		$id_gracza = $_SESSION["zalogowany"];
		$imie = mysql_query("SELECT name from `char` where ID LIKE '$id_gracza'");
		echo "Zalogowany jako $id_gracza";
		echo "<a href='index.php?wyloguj=tak'>wyloguj się</a>";
	}
}
 
?>
<html>
<head>
<title>Olimpus MMORPG</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2">
<link rel="Stylesheet" type="text/css" href="style.css" />
</head>
<body>
<center>
<div id="top">
  <div id="NAGLOWEK">
	<img src='left.jpg'><img src='banner.jpg'><img src='right.jpg'>
  </div>
  <div id="top2">
  <div id="LOGIN">
	<?
if($_GET["wyloguj"]=="tak")
{
	$_SESSION["zalogowany"]=0;echo "Zostałeś wylogowany z serwisu";
}
if(!empty($_POST["login"]) && !empty($_POST["haslo"]))
{
	$loginn = $_POST['login'];
	$hasloo = $_POST['haslo'];
	$hasloo2 = md5($hasloo);
		if(mysql_query("SELECT * from `char` where name = '$loginn' AND pass = '$hasloo2'") == TRUE)
		{
			echo "Zalogowano poprawnie. <a href='index.php'>PrzejdĽ na stronę główną</a>";
 
$wynik = mysql_query("SELECT * FROM `char` WHERE name = '$loginn'");
 
while($wynik and $pola = mysql_fetch_array($wynik))
{
  $_SESSION["zalogowany"]=$pola["ID"];
}		
		}
		else ShowLogin("Podano złe dane!!!");
}
	else ShowLogin();
?>
  </div>
  <div id="MENU">
	<a href='index.php'>-Strona główna</a>
  </div>
  <div id="TRESC">
	<pre><?php
if($_GET[site] != '')
{
	include(''.$_GET[site].'.htm');
}
else
{
header("location: index.php?site=main");
}
?>
  </div>
  </div>
  <div id="STOPKA">
  <?
	include('Stopka.txt');
  ?>
  </div>
</div>
</center>
</body>
</html>
[PHP] pobierz, plaintext

ocochodzi

25.03.2008, 23:32:35

Stosuj wcięcia. Newralgiczny kawalek kodu masz nieczytelnie sformatowany.

Sprawdzanie poprawności sprawdziłeś do sprawdzenia czy zmienne w $_POST są ustawione czy nie. Zatem wpisanie nieistniejacego loginu i hasła nie pociągnie wykonania linii 67. Co gorsza, mozna jako dane wpisać typowe złosliwości typu SQL injection:

loginn: a' OR name <> '

hasloo2: a' OR pass <> '

wtedy PHP mając

"SELECT * from `char` where name = '$loginn' AND pass = '$hasloo2'"

złoży zapytanie:

SELECT * from `char` where name = 'a' OR name <> '' AND pass = 'a' OR pass <> ''

AND ma wyższy priorytet niz OR, wiec wyrazenie logiczne obliczy się jakby były nawiasy:
a OR b AND c OR d jest tożsame z a OR (b AND c) OR d
Zdanie d w naszym zapytaniu jest zawsze prawdziwe, wiec całe wyrazenie logiczne bedzie prawdzwe dla kazdego rekordu. Sprowadza się zatem do żadania pokazania uzytkownikow z loginem a lub niepustym haslem. Zasadniczo wszytkich, choć w zamysłe pewnie miało zwrócić tego jednego jedynego.

A co jeśli nie ma ataku SQL injection tylko nieistniejace login i hasło (czyli sytuacja o jaką pytałeś)? System zaloguje a funkcja ShowLogin w wierszu 25 nie znajdzie odpowiedniego rekordu. Poza tym mała uwaga wydajnościowa. Jesli już masz wiersz z danymi, to go nie puszczaj tak łatwo. Ten drugi SELECT jest niepotrzebny.

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.