laten inloggen met asp -> SQL

[Alpha-sphere]

Ik wil mensen via een website (ASP) laten inloggen.
Ik werk met ASP en SQL voor de duidelijkheid.
Wat is de beste manier om dit te doen?

Mijn idee.
In de tabel waar de klantengegevens staan een extra veld maken waar de wachtwoorden worden opgeslagen. ASP vergelijkt dan de ingevoerde loginnaam en wachtwoord met de entries in de table.

Is dit iets??? Of kan het anders?

[Tommel]

Ja dit is wel iets!
Kijk een op www.4guysfromrolla.com of http://asp.pagina.nl vind je vast wel voorbeelden.

[Verwijderd]

Is dit iets??? Of kan het anders?

Das idd de snelste, simpelste manier, en volgens mij ook een prima manier om het te doen :-)

via

code:

if recordset.EOF and recordset.BOF Then
  'FOUT
else
  'GOED
end if

heb je hem

[Alpha-sphere]

Ik zal het vrijdag even proberen als ik weer op school ben. ben nu stage aan het lopen.

[Zaagmans]

TIP: ga niet je wachtwoord in je SQL query vergelijken.

voorbeeld:

code:

"select naam, wachtwoord from gebruikers where naam = '" & Request.QueryString("gebruikersnaam") &"' and wachtwoord = '" & Request.QueryString("wachtwoord") & "'"

Zo kan je dus in je form veld iets invullen als:

code:

1' OR '1=1' OR 'A=B

Je manipuleert je query dan gewoon door bovenstaand stukkie in je input veld te zetten. Met als gevolg dat je dus geen wachtwoord hoeft in te vullen en zo kan er dus worden 'ingebroken'.

Mja gewoon ff een afdwaling van me denk ik

[Verwijderd]

Op donderdag 06 december 2001 13:21 schreef Zaagmans het volgende:
TIP: ga niet je wachtwoord in je SQL query vergelijken.

Shit zeg, daar zeg je me wat!!! Hier heb ik (ook?) nog nooit bij stil gestaan . Da's inderdaad een leuk 'beveiliginslek'!

Je kan dus beter bv. een recordset opvragen van die bepaalde en daar op filteren...

[Verwijderd]

Daarnaa dan een session variabele gebruiken?
Hoeft je klant ook niet steeds in te loggen?

[Janoz]

Op donderdag 06 december 2001 13:21 schreef Zaagmans het volgende:
TIP: ga niet je wachtwoord in je SQL query vergelijken.

voorbeeld:

code:

wat lange code

Zo kan je dus in je form veld iets invullen als:

code:

1' OR '1=1' OR 'A=B

Je manipuleert je query dan gewoon door bovenstaand stukkie in je input veld te zetten. Met als gevolg dat je dus geen wachtwoord hoeft in te vullen en zo kan er dus worden 'ingebroken'.

Mja gewoon ff een afdwaling van me denk ik

Je kunt ook de speciale niet legale tekens filteren.

IMHO is dit redelijk triviaal, maar ik schrik nog steeds van sommige stukjes code die ik voorbij zie komen.

Elk stukje software (Of dat nu een compleet office pakket of een simpele dynamische website is) moet gebruikers input controleren op geldigheid!!

[Alpha-sphere]

code:

1' OR '1=1' OR 'A=B

Het zal wel aan mij liggen maar ik snap het niet

[Ramon]

Op donderdag 06 december 2001 13:21 schreef Zaagmans het volgende:
TIP: ga niet je wachtwoord in je SQL query vergelijken.

voorbeeld:

code:

"select naam, wachtwoord from gebruikers where naam = '" & Request.QueryString("gebruikersnaam") &"' and wachtwoord = '" & Request.QueryString("wachtwoord") & "'"

Zo kan je dus in je form veld iets invullen als:

code:

1' OR '1=1' OR 'A=B

Je manipuleert je query dan gewoon door bovenstaand stukkie in je input veld te zetten. Met als gevolg dat je dus geen wachtwoord hoeft in te vullen en zo kan er dus worden 'ingebroken'.

Mja gewoon ff een afdwaling van me denk ik

als je ' en " replaced met \' en \" is dit probleem al opgelost.....

[Verwijderd]

Op vrijdag 07 december 2001 09:07 schreef Tampie2000 het volgende:

[..]

als je ' en " replaced met \' en \" is dit probleem al opgelost.....

Aangezien het hier niet om PHP maar om ASP gaat moet je
Replace(sString, "'", "''") gebruiken...

[Ramon]

Op vrijdag 07 december 2001 18:53 schreef KoenM het volgende:

[..]

Aangezien het hier niet om PHP maar om ASP gaat moet je
Replace(sString, "'", "''") gebruiken...

is dat zo? waarom werken \' en \" bij mij dan wel goed?