[php] password controle

[Rusky]

waarom wil dit niet lukken???

PHP:

if ($passwordcontrole == $password) 
            { 
            echo" Paswoorden komen niet overeen<br>"; 
            }

als ik ze leeg laat is hij goed, maar als ik wat invul (gelijk of ongelijk)
is hij fout???

heb al lopen zoeken (nu 2 dagen) maar het wil niet ...

[sjroorda]

$_GET cq $_POST

Zoek even de FAQ en/of search erbij...

http://gathering.tweakers.net/forum/list_messages/741007#faq1

[ Voor 86% gewijzigd door sjroorda op 06-03-2004 15:19 ]

[sjroorda]

-dubbel-

[ Voor 98% gewijzigd door sjroorda op 06-03-2004 15:18 ]

[dingstje]

Overigens komen die twee paswoorden wel overeen als ie door de if raakt. Als je wilt controleren of ze niet overeen komen moet je != gebruiken ipv ==

[darkrain]

Als aanvulling op dingstje:
Je zou er een else bij kunnen maken als het wel goed is.

[Spider.007]

Rusky schreef op 06 maart 2004 @ 15:15:
waarom wil dit niet lukken???

PHP:

if ($passwordcontrole == $password) 
            { 
            echo" Paswoorden komen niet overeen<br>"; 
            }

als ik ze leeg laat is hij goed, maar als ik wat invul (gelijk of ongelijk)
is hij fout???

heb al lopen zoeken (nu 2 dagen) maar het wil niet ...

Juiste code:

PHP:

if ($passwordcontrole == $password){ 
    echo" Paswoorden komen WEL overeen <br />"; 
}

[ Voor 5% gewijzigd door Spider.007 op 06-03-2004 15:52 ]

[Verwijderd]

Zefl gebruik ik het volgende op mijn username en paswoord te controleren:

code:

if ($_POST['username']!='' && $_POST['password']!='')
{
  $username = preg_replace('/[^a-zA-Z0-9_]/', '', $_POST['username']);
  $password = preg_replace('/[^a-zA-Z0-9_]/', '', $_POST['password']);
    
  $db_conn = mysql_connect($server, $db_user, $db_pass) 
  or die ("Database CONNECT Error"); 
  mysql_select_db($database, $db_conn);
  
  $query = "select * from tabel where username='$username' and
  pass='$password'";
  $result = mysql_query($query, $db_conn);
  if (mysql_num_rows($result) >0 )
  {
    $_SESSION['vadid_user'] = $username;
    echo "<META HTTP-EQUIV=\"Refresh\" CONTENT=0;URL=vervolgpagina.php>";
    exit;
  }
}

Werkt als een trein en nog geen manier gevonden om er langs te komen.

[Paul]

VirtualMinds: Dat zit je alleen nog met het feit dat de wachtwoorden pain-text over internet gaan en plain-text in je database staan

Maar over challenge-response systemen valt genoeg te vinden Die zijn namelijk WEL veilig, omdat je nergens een plain-text wachtwoord hebt en een sniffer / man-in-the-middle niets aan de data die over de lijn gaat heeft.

Als ik echter de code van de TS (en het zinnetje dat hij teruggooit) goed interpreteer is hij hier bezig met een registratieprocedure, en niet met een inlog-procedure.

Rusky: Als je wel met inlog-code bezig bent moet je ook even aan de gang met challenge-response Tevens zou ik dan niet melden dat het wachtwoord fout is. Dan vertel je een hacker namelijk dat de username goed is

[We Are Borg]

Spider.007 schreef op 06 maart 2004 @ 15:52:
[...]

Juiste code:

PHP:

if ($passwordcontrole == $password){ 
    echo" Paswoorden komen WEL overeen <br />"; 
}

Denk eerder:

<?
if ($passwordcontrole != $password){
echo" Paswoorden komen NIET overeen <br />";
}
?>

[ Voor 9% gewijzigd door We Are Borg op 06-03-2004 17:01 ]

[Spider.007]

We Are Borg schreef op 06 maart 2004 @ 17:01:
[...]


Denk eerder:

<?
if ($passwordcontrole != $password){
echo" Paswoorden komen NIET overeen <br />";
}
?>

Het is net wat het doel is van de TS met deze if-statement... Feit is in ieder geval dat er momenteel een grove fout in zijn code zit. Ik denk dat de TS er goed aan doet om eens te beginnen met het doorlezen van de diverse handleidingen die er te vinden zijn

[ Voor 6% gewijzigd door Spider.007 op 06-03-2004 17:08 ]

[We Are Borg]

Spider.007 schreef op 06 maart 2004 @ 17:07:
[...]

Het is net wat het doel is van de TS met deze if-statement... Feit is in ieder geval dat er momenteel een grove fout in zijn code zit. Ik denk dat de TS er goed aan doet om eens te beginnen met het doorlezen van de diverse handleidingen die er te vinden zijn

Helemaal waar . Daarnaast is het handig om te weten of je een formulier gebruikt (denk het wel) en zo ja, POST of GET?

[Verwijderd]

We Are Borg schreef op 06 maart 2004 @ 17:08:

Helemaal waar . Daarnaast is het handig om te weten of je een formulier gebruikt (denk het wel) en zo ja, POST of GET?

Formulieren met wachtwoorden altijd met een POST request versturen.

[gorgi_19]

Verwijderd schreef op 06 maart 2004 @ 17:14:
[...]

Formulieren met wachtwoorden altijd met een POST request versturen.

Waarbij het effect alleen weer een beetje verdwijnt doordat 95% van de mensen vergeet om een evt. referrercheck in te bouwen.

[Verwijderd]

gorgi_19 schreef op 06 maart 2004 @ 17:16:

Waarbij het effect alleen weer een beetje verdwijnt doordat 95% van de mensen vergeet om een evt. referrercheck in te bouwen.

Ik zou absoluut geen referrercheck inbouwen bij het inloggen of een dergelijke actie, omdat niet alle browsers in alle gevallen een referrer header meesturen. Volgens mij is dit ook niet verplicht. Waarom zou het schadelijk kunnen zijn als iemand zonder referrer header of met een referrer van een ander domein probeert in te loggen? Hij stuurt het wachtwoord mee, dus dit is bij hem bekend. Dan moet er dus gewoon gebeuren wat hij vraagt.

[gorgi_19]

Verwijderd schreef op 06 maart 2004 @ 17:28:
[...]

Ik zou absoluut geen referrercheck inbouwen bij het inloggen of een dergelijke actie, omdat niet alle browsers in alle gevallen een referrer header meesturen. Volgens mij is dit ook niet verplicht. Waarom zou het schadelijk kunnen zijn als iemand zonder referrer header of met een referrer van een ander domein probeert in te loggen? Hij stuurt het wachtwoord mee, dus dit is bij hem bekend. Dan moet er dus gewoon gebeuren wat hij vraagt.

Een referrer hoort dan OF leeg c.q. nothing te zijn OF jezelf als referrer te hebben. Wat het voordeel zou kunnen zijn? Je maakt het in ieder geval de zogenoemde 'doorway' scripts een stuk lastiger.

[curry684]

Paul Nieuwkamp schreef op 06 maart 2004 @ 16:06:
VirtualMinds: Dat zit je alleen nog met het feit dat de wachtwoorden pain-text over internet gaan en plain-text in je database staan

Maar over challenge-response systemen valt genoeg te vinden

Zelfs in onze grote mooie FAQ, in dezelfde PHP subsectie waar het hele verhaal over superglobals instaat wat topicstarter zoekt.

Maar Cheatah en gorgi_19 hebben er geloof ik al wel een interessante discussie van gemaakt dus ik laat dit nog maar even open