Inlog script

[Pwigle]

Het inlogscript moet als verificatie goed is iemand doorverwijzen naar een andere pagina.

code:

//Check of goede wachtwoord en password zijn ingevuld   
$query= "SELECT voornaam, achternaam, wachtwoord FROM beheerders WHERE voornaam = '$sle_username' AND wachtwoord='$sle_password'";  
$result = mysql_query($query);
$row = mysql_fetch_row($result);
    
if ($sle_password == mysql_result($result, "wachtwoord"))
    session_start();
    $_SESSION["admin"]= $sle_username;
    $location = "Location: http://".$HTTP_SERVER_VARS['HTTP_HOST']
    ."".dirname($HTTP_SERVER_VARS['PHP_SELF'])
      ."/admin.php";
      header($location);
    exit;
    }
    {
            $errorMessage= "Helaas pindakaas.. je bent geen admin";
        }
    }
?>

Hij gaat hier de mist in:

code:

if ($sle_password == mysql_result($result, "wachtwoord"))

Wat doe ik fout ?

[FoxzMan]

gebruik het volgende stukje:

PHP:

<?$Results = mysql_num_rows($Query);if ($Results == '1') {echo (u bent ingelogd); }else {echo (u bent geen admin);}?>

Het stukje code kijkt of de query 1 resultaat heeft, zo ja dan heeft de administrator de juiste gegevens ingevuld en is hij ingelogd....

Zijn er 0 resultaten, dan heeft de administrator de verkeerde gegevens ingevuld.

[Erik Jan]

//OT: Let erop dat de code die je nu gebruikt case-insensitive is, dus niet echt optimaal veilig.

[FoxzMan]

Op dinsdag 07 mei 2002 21:35 schreef Erik Jan het volgende:
//OT: Let erop dat de code die je nu gebruikt case-insensitive is, dus niet echt optimaal veilig.

Kun je oplossen door de kolommen waarin je de usernames en userpasswords op "binary" te zetten.

Of in de volgende query te gebruiken (wel even aanpassen aan je eigen form en tabel)

code:

SELECT * FROM users WHERE NOT (STRCM(username,'$LoginNaam') OR STRCMP(userpassword,'$LoginPassword'))

[RedRose]

heb je overal { en } op de juiste plekken staan en wat is de error?

[Virtox]

over veiligheid gesproken :
als je nu als wachtwoord invult :
' and 1=1 ' oid

[Orphix]

Op donderdag 09 mei 2002 22:32 schreef MoodSwing het volgende:
over veiligheid gesproken :
als je nu als wachtwoord invult :
' and 1=1 ' oid

tja ... dan is je wachtwoord niks, dus matcht die niet.

[ACM]

Op vrijdag 10 mei 2002 00:20 schreef Orphix het volgende:
tja ... dan is je wachtwoord niks, dus matcht die niet.

Dan maak je ervan:
blaat' OR 1=1

net zo makkelijk
Oftewel _altijd_ je invoer waarden controleren...
mysql_escape_string is zooo makkelijk, dus waarom zou je het niet gebruiken?

[Pwigle]

He bah, ondanks al jullie goeie adviesen, ben ik er nog niet uit.
Ik ben redelijk nieuw in de php, maar na eindeloos kloten wil het niet.. zou iemand een klein voorbeeldje willen geven van hoe het wel moet ?

[D2k]

ga maar eens op zoek naar wat tutorials. inlogscripts worden vrijwel overal behandeld