MYSQL-Login und Sicherheit

[Fridge]

Hallo,

Ich bin neu hier und noch ein anfänger. Aber trotzdem habe ich mir ein Login-Script gebastelt
Das Script klappt auch wunderbar. Aber ich wollte dann noch wissen wie es mit der Sicherheit meines Scriptes aussieht?

PHP-Code:

<?php
require ('../../files/db_connect.inc.php');

$db_conn = mysql_connect ( DB_HOST , DB_USER , DB_PWD )
      or DIE ( 'Die Verbindung zur MYSQL-Datenbank ist fehlgeschlagen '.mysql_error() );
/*      if ( $db_conn ) {
          echo 'Die Verbindung zur MYSQL-Datenbank wurde hergestellt';
      }*/
$db_sel = mysql_select_db ( DB_NAME );
      if ( $db_sel ) {
          $db_res = mysql_query ( 'SELECT * FROM '.DB_TABLET );
                if ( !$db_res ) {
                    DIE ( 'Ung&uuml;ltige Abfrage: '.mysql_error() );
                }
                else {
                    while ( $db_row = mysql_fetch_array ( $db_res ) ) {
                         if ( $db_row['username'] == mysql_real_escape_string ( $_POST['username'] ) AND mysql_real_escape_string ( $_POST['password'] ) == $db_row['password'] ) {
                             echo 'Sie sind eingeloggt';
                         }
                         else {
                             echo 'Sie haben keine Berechtigung';
                         }
                    }
                }
          }
          else {
              echo 'Fehlgeschlagen';
          }
?>

Ich könnte auch tipps gebrauchen, wie ich sowas auch besser lösen kann

[urvater]

PHP-Code:

$_POST['password'] ) == $db_row['password'] 


Wie mir scheint speicherst du die Passwörter unverschlüsselt. Dies solltest du zwingend ändern. Passwörter sollten immer verschlüsselt gespeichert werden.

Im Echtbetrieb: mysql_error() würde ich nicht ausgeben sondern in eine Datei schreiben. Ein Hinweis, daß die DB zur Zeit nicht erreichbar ist ist wiederum ok. Fehler könnte man sich ggf. zu nutze machen.

PHP-Code:

if ( $db_row['username'] == mysql_real_escape_string ( $_POST['username'] ) AND mysql_real_escape_string ( $_POST['password'] ) == $db_row['password'] ) {
                             echo 'Sie sind eingeloggt';
                         } 


Hier würde ich den SELECT so abändern, daß hier nur die Daten geholt werden, wenn PW und Benutzer zusammen passen. Alle anderen Datensätze werden hierbei ja nicht gebraucht.

Tip: Die Verbindung zur DB und auch SELECT, UPDATE etc. würde ich als Funktion bzw. Klasse mir erstellen. Bei Änderungen wäre der Pflegeaufwand bedeutend leichter.

[Fridge]

Danke für deine Antwort, werde mich mal damit beschäftigen. Aber wegen den Verschlüsselten Passwort habe ich noch nicht eingebaut, wollte ich aber auch machen. Aber ich wollte jetzt beim erstellen noch nicht das Passwort verschlüsselt in die Datenbank legen. Und ich wollte schritt für schritt lernen wie das umsetze (z.B. erst eine Verbindung aufbauen, dann DB auswählen, usw.). Es bringt mir ja nichts wenn mir jemand alles hier hin coded. Besser ich lerne es wie es geht oder lasse es gleich bleiben :D

[cortex]

beachte vor allem das eva-prinzip.

cx

[Fridge]

Danke für den Tipp. Werde aber erst Donnerstag wieder ans coden kommen!

[Fridge]

So habe mich mal wieder an das Script rangenmacht und bissche geändert.

PHP-Code:

<?php
require ('../../files/db_connect.inc.php');

$db_conn = mysql_connect ( DB_HOST , DB_USER , DB_PWD )
      or DIE ( 'Die Verbindung zur MYSQL-Datenbank ist fehlgeschlagen ' );

$auth_user = $_POST['username'];
$auth_pass = $_POST['password'];

$auth_user = mysql_real_escape_string ( $auth_user );
$auth_pass = mysql_real_escape_string ( $auth_pass );


$db_sel = mysql_select_db ( DB_NAME );

$db_sql = "SELECT username, password FROM '.DB_TABLET.' WHERE username = '$auth_user' AND password = '$auth_user'";
          $db_res = mysql_query ( $db_sql );
if ( mysql_fetch_assoc( $db_res ) == TRUE ) {
    echo "Erfolgreich" ;
}
else {
    echo "Keine Berechtigung";
}
?>

So ich bekomme eine fehler

Warning: mysql_fetch_assoc() expects parameter 1 to be resource, boolean given in C:\Users\Fridge\Homepage\html\uebung\Mysql.php on line 18

änder ich die Konstante von dem Tabellen namen ab und trage dort den richtigen namen ein, bekomme ich keine Fehlermeldung mehr...aber ich kann eingeben was ich will, ich kommen trotzdem nicht rein! :(

Also ich weis nicht was ich falsch mache?

Achso ich habe immer noch nicht das passowrt verschlüsselt!

[feuervogel]

grundsätzlich machst du falsch, dass du nicht di hinweise beachtest, die ich verfasst habe:

http://www.selfphp.de/forum/showthread.php?t=8195

vor allem wichtig: fehlermeldung ausgeben lassen, statement ausgeben lassen und gucken, ob es so aussieht, wie man es sich gedacht hat. tippfehler überprüfen!

zeig uns mal die stelle, wo du die konstante definierst.

[Fridge]

Sorry, habe ich irgendwie übersehen...werde es mir direkt reinziehen!

Danke!

[Fridge]

PHP-Code:

<?php
require ('../../files/db_connect.inc.php');

$db_conn = mysql_connect ( DB_HOST , DB_USER , DB_PWD )
      or DIE ( 'Die Verbindung zur MYSQL-Datenbank ist fehlgeschlagen ' );

$auth_user = $_POST['username'];
$auth_pass = $_POST['password'];

$auth_user = mysql_real_escape_string ( $auth_user );
$auth_pass = mysql_real_escape_string ( $auth_pass );


$db_sel = mysql_select_db ( DB_NAME );
          $db_sql = "SELECT username, password FROM db_benutzer WHERE username = '$auth_user' AND password = '$auth_user'";
          $db_res = mysql_query ( $db_sql ) or DIE ( mysql_error() );
if ( mysql_fetch_assoc( $db_res ) == TRUE ) {
    echo "Erfolgreich" ;
}
else {
    echo "Keine Berechtigung";
}
?>

So habe dein link mal angesehen, ich habe jetzt den Tabellen name nicht als Konstante angegeben sonder habe den richtigen namen genommen...Jezt habe ich auch keine Fehlermeldung mehr. Habe jetzt auch mal nach Tippfehlern geschaut. Aber egal ob ich die richtigen Login daten eingebe oder die falschen...Ich bekomme immer "keine Berechtigung" zurück.
Also ist irgendwo im vergleich ein fehler, nur ich sehe da kein fehler. Aber vielleicht kann mir einer ein Tipp geben?

[Fridge]

Hat sich erledigt!
Keine ahnung warum es jetzt klappt *G*

Danke für eure hilfe, jetzt werde ich die anderen Punkte die ihr mir gegeben habt umsetzen!