Passwort Verschlüsselung bei Regi + Login !?

Page 2 of 3 1 2 3
09/23/2011 18:55 finaldown97#16
By the way: So wie ich das gesehn hab beim drüberfliegen:
Vulns:
-XSS
-SQLI
09/23/2011 18:56 Che#17
Quote:
Originally Posted by Metin2Spieler97 View Post
Naja, es erschwert trotzdem das Cracken eines md5-Hashes. ;O
naaaaaaaaaaaaaaaja .... trotzdem ists sicherer und sinnvoller den salt extra zu speichern und für jeden hash wieder individuell zu machen...

so hashe ich meine passwörter, bevor ich die in ne db schreib
PHP Code:
$salt = random_str();
$salt2 = random_str(32);
$salt3 = random_str(128);
$salt4 = random_str(256);
$password = htmlspecialchars(md5(md5($_POST['pw'].$salt.md5($salt2.md5($_POST['pw'].$salt3.md5($salt4.$_POST['pw']))))));
write_to_db("user", "pw", $password);
write_to_db("user", "salt", $salt);
write_to_db("user", "salt2", $salt2);
write_to_db("user", "salt3", $salt3);
write_to_db("user", "salt4", $salt4); 
die hashes knackt mir so schnell niemand mehr :D

höhö :awesome:

€dit: final hast natürlich recht, xss sicherheit muss gewehrleistet werden (geht mit htmlspecialchars($zeuch); )
die SQL-Improved extension muss er ned umbedingt verwendenden, mitm standart-müll gehts doch auch... außer er will auf hohe besucherzahlen + schnelle server auslegen, is aber gschmarre ^^
09/23/2011 19:22 NoWe53#18
Habe in meiner Datenbank unter "filecache" Tabelle "key" gefunden, dort sind viele 32-stellige "hashes" oder wie man das da nennt ^^

PHP Code:
<?php

// Check if he wants to register:
if (!empty($_POST[email]))
{
    // Check if passwords match.
    if ($_POST[password] != $_POST[password2])
        exit("Error - Passwörter stimmen nicht überrein. Bitte versuche es noch einmal.");

    // Assign some variables.
    $ip = $_SERVER[REMOTE_ADDR];
    $salt = "PASSWORDUNIQUESTRING";
    $password = md5($_POST['password'].$SALT);
  

    require_once("connect.php");

    // Register him.
     $query = mysql_query("INSERT INTO user 
    (email, displayName, name, password, bday, salt)
    VALUES    ('$_POST[email]','$_POST[displayName]','$_POST[name]','$password','$bday','PASSWORDUNIQUESTRING')")
    or die ("Error - Registrieren fehlgeschlagen.");  

$query = mysql_query("SELECT * FROM 'user' WHERE email = '$email'");
if (mysql_fetch_row($query)) {
echo "Bitte andere Username";
} else
    
    echo "Welcome $_POST[username]! You've been successfully reigstered!<br /><br />
        Please login <a href='index.php'><b>here</b></a>.";
    exit();
}

?>

<html>
    <head>
        <title>Registrieren</title>
    </head>
    <body>
        <form action="register.php" method="post">
            <table width="75%" border="1" align="center" cellpadding="3" cellspacing="1">
                <tr>
                    <td width="100%"><h5>Registration</h5></td>
                </tr>
                <tr>
                    <td width="100%"><label>Email: <input type="text" name="email" size="25" value="<? echo $_POST[email]; ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Anzeige-Name: <input type="text" name="displayName" size="25" value="<? echo $_POST[displayName]; ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Name: <input type="text" name="name" size="25" value="<? echo $_POST[name]; ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Passwort: <input type="password" name="password" size="16" value="<? $password = md5($_POST['password']); ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Passwort wiederholen: <input type="password" name="password2" size="16" value=""></label></td>
                </tr>
                <tr>
                    <td width="100%"><input type="submit" value="Registrieren!"></td>
                </tr>
            </table>
        </form>
    </body>
</html>
Aus der Datenbank (s.o.)

PHP Code:
vollständige Textfelder     key     expires     size
    Bearbeiten     Löschen     7d17e3a478196a93b8af127c02b4ff9e     1319475867     173
    Bearbeiten     Löschen     db4fdf5d60c33e22288a27d2169eaef5     1319401861     77
    Bearbeiten     Löschen     1cc4c4e6af16031bd616d29ed11273c5     1317328179     170
    Bearbeiten     Löschen     83e461dac15743e794d2176dd9e13ff5     1348209752     13
    Bearbeiten     Löschen     d577aa59bef558db0727318f8de260e0     1348209752     13
    Bearbeiten     Löschen     7e1004285e665bc60c38e8fee728d4cd     1319469389     8
    Bearbeiten     Löschen     7143677734dfeea5c51aae86f3477cd3     1317295063     149
    Bearbeiten     Löschen     1079a7f805b610d0eb900ed5de17e4b3     1317331292     128
    Bearbeiten     Löschen     ab411c0f391f353bbfff114ac241cb31     1317331292     3314
    Bearbeiten     Löschen     08f646df888cd27fc7b89dc5645fdaf1     1317331292     1613
    Bearbeiten     Löschen     56b6acbddbf3a89b6175721ca7e5eb90     1317331292     1188
    Bearbeiten     Löschen     684df77efb74d38cdb06af6ced5c0614     1317331292     729
    Bearbeiten     Löschen     b5e312b34c48a5714b335594dfb2e444     1317331292     218
    Bearbeiten     Löschen     4f7b8b387300ad6588184ac5d1f21ef2     1317331292     139
    Bearbeiten     Löschen     ab8a8e7c6bbc08c4517ffc18b09d4ccb     1317331292     1355
    Bearbeiten     Löschen     9d327e87fb56fb5f22f90488eab17337     1317331292     1200
    Bearbeiten     Löschen     18d3a1d05494de6de42b2620081e5163     1317331292     335
    Bearbeiten     Löschen     7a9623a664e0598ab46d55d8ab82e9fa     1317331292     1697
    Bearbeiten     Löschen     53af39093cc972c6147c06c0bfae1880     1317331292     1246
    Bearbeiten     Löschen     c82351a0395d19d1a51499e78de9d368     1317331292     654
    Bearbeiten     Löschen     7f96218cca3d369bcc83e1ff5881a07e     1317331292     3743
    Bearbeiten     Löschen     aff325da4dcdbcf90b6b7d47e8b8782c     1317402313     7
    Bearbeiten     Löschen     7aadcf96c5eb8e7aff17644821990ee5     1317402309     55
    Bearbeiten     Löschen     d775ed725481ac6691deee5e7bb2f2ad     1317402309     984
    Bearbeiten     Löschen     79cefee57ad790e145061afae497faec     1317278580     313
    Bearbeiten     Löschen     aad77dbb143cfab111fa9f73e592de54     1317402313     7
    Bearbeiten     Löschen     90ab9cd79ea27ad5af5d75cb58ea2302     1317331426     130
    Bearbeiten     Löschen     c716010f9c052249df573d74fcaa31ca     1317331426     4055
    Bearbeiten     Löschen     890c91f06790f2fb22bad773e16aabc5     1317331426     2189
    Bearbeiten     Löschen     8488ec2c7bace28d2ff7c383c42ba6bd     1317331426     1320 
Edit:

Funktionier immernoch nicht
09/23/2011 22:38 Che#19
Quote:
Originally Posted by nicileie View Post
Habe in meiner Datenbank unter "filecache" Tabelle "key" gefunden, dort sind viele 32-stellige "hashes" oder wie man das da nennt ^^

PHP Code:
<?php

// Check if he wants to register:
if (!empty($_POST[email]))
{
    // Check if passwords match.
    if ($_POST[password] != $_POST[password2])
        exit("Error - Passwörter stimmen nicht überrein. Bitte versuche es noch einmal.");

    // Assign some variables.
    $ip = $_SERVER[REMOTE_ADDR];
    $salt = "PASSWORDUNIQUESTRING";
    $password = md5($_POST['password'].$SALT);
  

    require_once("connect.php");

    // Register him.
     $query = mysql_query("INSERT INTO user 
    (email, displayName, name, password, bday, salt)
    VALUES    ('$_POST[email]','$_POST[displayName]','$_POST[name]','$password','$bday','PASSWORDUNIQUESTRING')")
    or die ("Error - Registrieren fehlgeschlagen.");  

$query = mysql_query("SELECT * FROM 'user' WHERE email = '$email'");
if (mysql_fetch_row($query)) {
echo "Bitte andere Username";
} else
    
    echo "Welcome $_POST[username]! You've been successfully reigstered!<br /><br />
        Please login <a href='index.php'><b>here</b></a>.";
    exit();
}

?>

<html>
    <head>
        <title>Registrieren</title>
    </head>
    <body>
        <form action="register.php" method="post">
            <table width="75%" border="1" align="center" cellpadding="3" cellspacing="1">
                <tr>
                    <td width="100%"><h5>Registration</h5></td>
                </tr>
                <tr>
                    <td width="100%"><label>Email: <input type="text" name="email" size="25" value="<? echo $_POST[email]; ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Anzeige-Name: <input type="text" name="displayName" size="25" value="<? echo $_POST[displayName]; ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Name: <input type="text" name="name" size="25" value="<? echo $_POST[name]; ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Passwort: <input type="password" name="password" size="16" value="<? $password = md5($_POST['password']); ?>"></label></td>
                </tr>
                <tr>
                    <td width="100%"><label>Passwort wiederholen: <input type="password" name="password2" size="16" value=""></label></td>
                </tr>
                <tr>
                    <td width="100%"><input type="submit" value="Registrieren!"></td>
                </tr>
            </table>
        </form>
    </body>
</html>
Aus der Datenbank (s.o.)

PHP Code:
vollständige Textfelder     key     expires     size
    Bearbeiten     Löschen     7d17e3a478196a93b8af127c02b4ff9e     1319475867     173
    Bearbeiten     Löschen     db4fdf5d60c33e22288a27d2169eaef5     1319401861     77
    Bearbeiten     Löschen     1cc4c4e6af16031bd616d29ed11273c5     1317328179     170
    Bearbeiten     Löschen     83e461dac15743e794d2176dd9e13ff5     1348209752     13
    Bearbeiten     Löschen     d577aa59bef558db0727318f8de260e0     1348209752     13
    Bearbeiten     Löschen     7e1004285e665bc60c38e8fee728d4cd     1319469389     8
    Bearbeiten     Löschen     7143677734dfeea5c51aae86f3477cd3     1317295063     149
    Bearbeiten     Löschen     1079a7f805b610d0eb900ed5de17e4b3     1317331292     128
    Bearbeiten     Löschen     ab411c0f391f353bbfff114ac241cb31     1317331292     3314
    Bearbeiten     Löschen     08f646df888cd27fc7b89dc5645fdaf1     1317331292     1613
    Bearbeiten     Löschen     56b6acbddbf3a89b6175721ca7e5eb90     1317331292     1188
    Bearbeiten     Löschen     684df77efb74d38cdb06af6ced5c0614     1317331292     729
    Bearbeiten     Löschen     b5e312b34c48a5714b335594dfb2e444     1317331292     218
    Bearbeiten     Löschen     4f7b8b387300ad6588184ac5d1f21ef2     1317331292     139
    Bearbeiten     Löschen     ab8a8e7c6bbc08c4517ffc18b09d4ccb     1317331292     1355
    Bearbeiten     Löschen     9d327e87fb56fb5f22f90488eab17337     1317331292     1200
    Bearbeiten     Löschen     18d3a1d05494de6de42b2620081e5163     1317331292     335
    Bearbeiten     Löschen     7a9623a664e0598ab46d55d8ab82e9fa     1317331292     1697
    Bearbeiten     Löschen     53af39093cc972c6147c06c0bfae1880     1317331292     1246
    Bearbeiten     Löschen     c82351a0395d19d1a51499e78de9d368     1317331292     654
    Bearbeiten     Löschen     7f96218cca3d369bcc83e1ff5881a07e     1317331292     3743
    Bearbeiten     Löschen     aff325da4dcdbcf90b6b7d47e8b8782c     1317402313     7
    Bearbeiten     Löschen     7aadcf96c5eb8e7aff17644821990ee5     1317402309     55
    Bearbeiten     Löschen     d775ed725481ac6691deee5e7bb2f2ad     1317402309     984
    Bearbeiten     Löschen     79cefee57ad790e145061afae497faec     1317278580     313
    Bearbeiten     Löschen     aad77dbb143cfab111fa9f73e592de54     1317402313     7
    Bearbeiten     Löschen     90ab9cd79ea27ad5af5d75cb58ea2302     1317331426     130
    Bearbeiten     Löschen     c716010f9c052249df573d74fcaa31ca     1317331426     4055
    Bearbeiten     Löschen     890c91f06790f2fb22bad773e16aabc5     1317331426     2189
    Bearbeiten     Löschen     8488ec2c7bace28d2ff7c383c42ba6bd     1317331426     1320 
Edit:

Funktionier immernoch nicht
Kp was das für Keys sind...
Musst auf jeden in deiner Tabelle n neues Feld anfügen sonst wirds nüscht
09/23/2011 22:40 finaldown97#20
@〤Che〤
Verstehst du nicht genau was SQLI ist?
Ich kann über das POST-Array welches nicht via mysql_real_escape_string geprüft wird eigenen SQL-Code injecten. Sehr gefährliche Lücke!!!
09/24/2011 15:11 Fratyr#21
Quote:
Originally Posted by finaldown97 View Post
@〤Che〤
Verstehst du nicht genau was SQLI ist?
Ich kann über das POST-Array welches nicht via mysql_real_escape_string geprüft wird eigenen SQL-Code injecten. Sehr gefährliche Lücke!!!
Wobei mysql_real_escape auch nicht 100% sicher ist. Am besten ist es
eine Whitelist anzulegen und den String über einen Regulären Ausdrück prüfen
zu lassen.
Einen eigenen Salt für jeden Benutzer neu zu generieren ist zwar keine
schlechte Idee aber vollkommen unnötig. Verwendest du einen salt wie
"fsUdnfna8273jd&"mf" Also einfach ein String aus zufälligen Zeichen reicht
das vollkommen aus, da md5 bisher unknackbar ist, und bei einem solchem
Salt Rainbotables vollkommen nutzlos sind.
09/24/2011 18:54 NoWe53#22
Schön wenn ihr das geklärt habt, aber leider weicht ihr vom Thema ab, will nurnoch hinkriegen, dass das mit dem Registrieren klappt *bettel*
09/25/2011 18:34 Che#23
Zu dem SQLI... jo hab ich falsch verstanden, dachte du meinst die SQLi-Extension, weil sie schneller ist... :D

Quote:
Originally Posted by Fratyr View Post
Wobei mysql_real_escape auch nicht 100% sicher ist. Am besten ist es
eine Whitelist anzulegen und den String über einen Regulären Ausdrück prüfen
zu lassen.
Einen eigenen Salt für jeden Benutzer neu zu generieren ist zwar keine
schlechte Idee aber vollkommen unnötig. Verwendest du einen salt wie
"fsUdnfna8273jd&"mf" Also einfach ein String aus zufälligen Zeichen reicht
das vollkommen aus, da md5 bisher unknackbar ist, und bei einem solchem
Salt Rainbotables vollkommen nutzlos sind.
Zu deiner Behauptung, dass man md5-Hahses nicht knacken kann:
[Only registered and activated users can see links. Click Here To Register...]
[Only registered and activated users can see links. Click Here To Register...]
[Only registered and activated users can see links. Click Here To Register...]
[Only registered and activated users can see links. Click Here To Register...]
Funktionieren soweit ich weiß alle mit gigantischen Rainbowtables

Und wer es gerne lokal will:
[Only registered and activated users can see links. Click Here To Register...]
[Only registered and activated users can see links. Click Here To Register...]
[Only registered and activated users can see links. Click Here To Register...]
[Only registered and activated users can see links. Click Here To Register...]
(Laufen alle übern GPU, weil der bis zu 20 mal schneller als der CPU ist...)

Also behaupte nicht, dass man md5-Hashes nicht Cracken kann... Wenn er gesalzen ist, dann machste halt 2 Crackvorgänge...

Also per Bruteforce + gigantischen Rainbowtables ist es möglich sowas zu Cracken... Die Liste dient jetzt nicht zu irgendwelchen kriminellen Aktionen, sondern nur zur Demonstration, dass es sehrwohl möglich ist und nix besonderes ist... (Liste per Google in 5 Minuten zusammengestellt... es gab mal noch ne Seite die besser war aber die find ich grad ned)

Das was du über mysql_real_escape sagst, ist vollkommen richtig... Man sollte bei Projekten, bei denen man auf die Sicherheit achtet alles verbieten, bis auf das, was man selbst machen will/muss!

@nici: Sieh dir meine letzten Posts an, wenn du sie verstanden hast, kannst du dir daraus innerhalb von n paar minuten n voll funktionsfähiges Registrations/Login-Script basteln...
09/25/2011 20:04 ms​#24
Quote:
Originally Posted by Fratyr View Post
Wobei mysql_real_escape auch nicht 100% sicher ist. Am besten ist es
eine Whitelist anzulegen und den String über einen Regulären Ausdrück prüfen
zu lassen.
Einen eigenen Salt für jeden Benutzer neu zu generieren ist zwar keine
schlechte Idee aber vollkommen unnötig. Verwendest du einen salt wie
"fsUdnfna8273jd&"mf" Also einfach ein String aus zufälligen Zeichen reicht
das vollkommen aus, da md5 bisher unknackbar ist, und bei einem solchem
Salt Rainbotables vollkommen nutzlos sind.
Wenn man einen eigenen Salt für jedes Passwort generiert, dann sind Rainbow-Tables nutzlos. Wenn man allerdings den selben Salt für jedes Passwort benutzt, dann kann man sich einfach neue Rainbow-Tables mit dem Salt generieren.

Aus dem Grund sollte man auch nicht überall den selben Salt verwenden, ganz egal wie lang er ist.
09/25/2011 21:11 finaldown97#25
Btw: mysql_real_escape_string ist eigentlich recht sicher, nicht wie Fratyr meint.
Jedoch ist darauf zu achten bei SqlQuerys wie "SELECT * FROM döner WHERE id = 1337" bzw. "SELECT * FROM döner WHERE id = ".$integer das man um den Integer ' und ' macht denn sonst $integer = "1 AND INJECTION_CODE_EINFÜGEN"; et voila "SELECT * FROM döner WHERE id = 1 AND INJECTION_CODE_EINFÜGEN" aber mit mysql_real_escape_string
in Verbindung mit ' und ' ("SELECT * FROM döner WHERE id = '".mysql_real_escape_string($integer)."'"; ist man dann auch geschützt. Denn um Sql Code zu injecten muss man wieder ein ' sezten aber das wird durch die Tolle Funktion die ich jetzt 100 mal erwähnt hab ge-escapdded.


Fazit: Sicherheit hat viel mit dem Programmierer und seinen Kenntnissen zu tun.
PS: [Only registered and activated users can see links. Click Here To Register...] das nutzt mehrere Rainbowtables
09/25/2011 22:38 Fratyr#26
Ein Salt aus zufälligen Zeichen, der allerdings Konstant ist und sich
nicht wie bei Metin2Spieler bei jedem User ändert ist 100%ig sicher. Ich weiß nicht aber
falls es euch noch nicht aufgefallen ist kann der PHP Code nicht vom Clienten eingesehen
werden, ein Salt der einzigartig aus zufälligen Zeichen besteht ist dadurch unknackbar.


Quote:
Also behaupte nicht, dass man md5-Hashes nicht Cracken kann... Wenn er gesalzen ist, dann machste halt 2 Crackvorgänge...
Du kannst nichts Brutforcen wenn der Salt unbekannt ist, und das ist er in 99% der
Fälle da der Hacker keinen Zugriff auf die Konfigurationsdatei hat die den Salt enthält.
Hat der Hacker aber Zugriff so hat man das gleiche Sicherheitsrisiko wie wenn man
den Salt für jeden User einzeln generiert, wer sich Serverzugriff verschaffen kann,
hat auch Datenbankzugriff, alleine schon durch die SQL Konfigurationen in deinen PHP
Skripten.

Quote:
Btw: mysql_real_escape_string ist eigentlich recht sicher, nicht wie Fratyr meint.
Es geht hier um 100%ige Sicherheit und nicht um "recht sicher". Und tut mir Leid,
ich will dich wirklich nicht angreifen aber aus deinem Namen resultiere ich das du
97 geboren bist? Ich habe sicherlich einige Jahre mehr an Programmiererfahrung
auf dem Buckel, und weiß sehr wohl wie mysql_real_escape_string funktioniert.
Das mysql_real_escape_string komplett unsicher ist habe ich nebenbei nie behauptet!

Quote:
Fazit: Sicherheit hat viel mit dem Programmierer und seinen Kenntnissen zu tun.
Wiegesagt, klemm dich erst nocheinmal ein paar Jahre hinter eine Programmiersprache,
bevor du so einen Kommentar ablässt.

Quote:
Wenn man einen eigenen Salt für jedes Passwort generiert, dann sind Rainbow-Tables nutzlos. Wenn man allerdings den selben Salt für jedes Passwort benutzt, dann kann man sich einfach neue Rainbow-Tables mit dem Salt generieren.
Wie schon gesagt wie willst du dir eine Rainbotable anlegen wenn der Salt doch
unbekannt ist? Sollange du nicht "hallo" als Salt verwendest, bleibe ich bei meiner
Meinung, und das ist Fakt das Rainbowtables nutzlos sind. Erforderlich dafür ist nur
ein einzigartiger Salt.

Quote:
Aus dem Grund sollte man auch nicht überall den selben Salt verwenden, ganz egal wie lang er ist.
Siehe oben, diese Aussage ist komplett falsch.

Um es nocheinmal zusammenzufassen da ich vielleicht etwas um den heißen Brei
geredet habe:
Ein Salt aus sinnlos zusammengesetzten Zeichen, Zahlen und Buchstaben mit einer
gewissen Länge ist genauso schwer zu knacken wie ein Salt der für jeden User
eigen generiert wird. Und um das nocheinmal klar zustellen, es ist keine schlechte
Idee, und auch kein Fehler, ich halte es nur ganz einfach für unnötig!

Edit:
Quote:
Also behaupte nicht, dass man md5-Hashes nicht Cracken kann
Der md5 Algorythmus ist bisher ungeknackt.
09/26/2011 22:43 Che#27
Quote:
Originally Posted by Fratyr View Post
Es geht hier um 100%ige Sicherheit und nicht um "recht sicher". Und tut mir Leid,
ich will dich wirklich nicht angreifen aber aus deinem Namen resultiere ich das du
97 geboren bist?
Bitte... BITTE schließe NIEMALS vom Alter einer Person auf deren Fähigkeiten!
Quote:
Originally Posted by Fratyr View Post
Der md5 Algorythmus ist bisher ungeknackt.
Hab ich nie behauptet, ist auch totaler Quatsch, weil man den Algorythmus nie umkehren werden kann (Hash = Unumkehrbare Verschlüsselung)...
MD5 - Wikipedia, the free encyclopedia <-- siehe hier

AAAABER:
Wir weichen hier vollkommen vom Thema ab o.O
Die Ursprungsfrage war, wie man einen Login + Regi baut, welche funktioniert...
Da mir hier auch langsam die schwachsinnigen Diskusionen aufn Sack gehn gibts jetzt mal hier die Loginfunktion, die ich in meinem Forenscript (welches ich grad schreibe und im XML-Forenscript) verwende:

einloggen.php
PHP Code:
<?php
/*
Loginscript
Made by xChex
*/
require_once("./func.php");
session_start();
//Per Formular übergebene Daten abfragen
$name = $_POST['name']; //Benutzername
$pw = $_POST['pw']; //Passwort
$name = preg_replace("#\s{2,}#", " ", $name);// Doppelte Leerzeichen im namen löschen
$pw = preg_replace("#\s{2,}#", " ", $pw);// Selbes mit dem Passwort
$_SESSION['name'] = $name; //Benutzername zur weiterverwendung in der Session speichern
$action = $_POST['action']; //Aktion abrufen

if ($action == "ausloggen"){ //Überprüfen ob ausgeloggt werden soll
    $_SESSION['log'] = "ausgeloggt"; //In der Session auf Ausloggen stellen
    header("Location: ".$config['main']['index']); //Zurücklinken
}
elseif ($action == "einloggen"){ //Wenn eingeloggt werden soll
    $db = new DB;
    if ($db->anzeigen_where("user", "id", "usn", $name) != 0){
             //uid richtig
            //passwortüberprüfung -> start!
            //salt abfragen
            $salt = $db->anzeigen_where("user", "salt", "usn", $name);
                if ($salt != ""){
                    //passwort generieren
                     $passwort = md5(md5($salt).md5($pw));
                    //passwort abfragen
                    //passwörter abgleichen
                        if ($db->anzeigen_where("user", "pw", "usn", $name) == $passwort){
                                $_SESSION['log'] = "eingeloggt"; //Den Status "eingeloggt" in die Session speichern
                                $_SESSION['fail'] = "";
                                header("Location: ".$config['main']['index']); //Zurücklinken
                        }
                        else{
                            $_SESSION['fail'] = "true";
                            header("Location: ".$config['main']['index']); //Zurücklinken
                        }
                }
                else{
                    $_SESSION['fail'] = "true";
                    header("Location: ".$config['main']['index']); //Zurücklinken
                }
        }
        else{
            $_SESSION['fail'] = "true";
            header("Location: ".$config['main']['index']); //Zurücklinken
        }
}
elseif ($action == "register"){
$salt = salt();
$daten = array("usn" => $_POST['name'], "pw" => md5(md5($salt).md5($_POST['pw'])), "salt" => $salt);
$db = new DB;
if ($db->anzeigen_where("user", "id", "usn", $name) == 0){
$db->schreiben_multi("user", $daten);
$_SESSION['log'] = "eingeloggt";
header("Location: ".$config['main']['index']); //Zurücklinken
}
else
{
echo "User existiert schon";
$form = new form;
$form->back_button();
}
}
else{ //In allen anderen Fällen
header("Location: ".$config['main']['index']); //Zurücklinken
}
?>
wichtiges aus der func.php
PHP Code:
<?php
$config['db']['db'] = 'datenbank';
$config['db']['prefix'] = 'prefix_';

$config['db']['host'] = 'localhost';
$config['db']['usn'] = 'user';
$config['db']['pw'] = 'passwort';
$config['main']['index'] = 'index.php';


class DB{
    function __construct() {
    $this->verbinden();
    }
    private function verbinden(){
        global $db, $config;
        $db = mysql_connect($config['db']['host'], $config['db']['usn'], $config['db']['pw']);
            if (!$db){
                echo "Verbindung zur Datenbank gescheitert!<br>";
            }
            else{
                $this->select();
            }
    }
    private  function select(){
        global $db, $config;
        mysql_select_db($config['db']['db'], $db);
    }
    private  function trennen(){
        global $db;
        if (isset($db)){
            mysql_close($db);
        }
    }
    // Operationen
    public  function schreiben_multi($table, $array){
    global $config;
    $abfrage = "INSERT INTO `".mysql_real_escape_string(htmlspecialchars($config['db']['prefix'].$table))."` (".mysql_real_escape_string(htmlspecialchars(arrparser::array2fields($array))).") VALUES (".mysql_real_escape_string(htmlspecialchars(arrparser::array2values($array))).")";
    $query = mysql_query($abfrage);
        if (!$query){
            echo "fail<br>";
        }
    }
    public  function anzeigen_where($table, $field, $kriterium_field, $kriterium_value){
    $abfrage = "SELECT `".mysql_real_escape_string(htmlspecialchars($field))."` FROM `".mysql_real_escape_string(htmlspecialchars($config['db']['prefix'].$table))."` WHERE `".mysql_real_escape_string(htmlspecialchars($kriterium_field))."` = '".mysql_real_escape_string(htmlspecialchars($kriterium_value))."'";
    $query = mysql_query($abfrage);
    $row = mysql_fetch_row($query);
    return $row[0];
    }
    function __destruct() {
    $this->trennen();
    echo "getrennt";
    }
}
class arrparser{
    public static function array2fields($array){
        $var = 0;
        $fields_array = array_keys($array);
        while ($var < count($fields_array)){
            if ($var == 0){
                $fields = "`".$fields_array[$var]."`";
            }
            else{
                $fields .= ", `".$fields_array[$var]."`";
            }
            ++$var;
        }
        return $fields;
    }
    public static function array2values($array){
        $values_array = array_values($array);
        $var = 0;
        while ($var < count($array)){
            if ($var == 0){
                $values = "'".$values_array[$var]."'";
            }
            else{
                $values .= ", '".$values_array[$var]."'";
            }
            ++$var;
        }
        return $values;
    }
    
class form{
    public function login(){
        global $config;
        //einloggformular
        if ($_SESSION['fail'] == "true"){ //Wenn Einlogg-Versuch fehl geschlagen ist
        echo "<h4>Login fehlgeschlagen. Bitte nochmals probieren!</h4>";
        }
        else{ //Ansonsten
        echo "<h4>Bitte loggen Sie sich ein</h4>";
        }
        echo "<form action=\"einloggen.php\" method=\"POST\">";
        echo "<input type=\"hidden\" name=\"action\" value=\"einloggen\" />"; //Einlogg-Aktion auswählen
        echo "<table class=\"main_table\" align=\"center\">";
        echo "<tr><td width=\"150\">Foren-Username:</td>";
        echo "<td colspan=\"2\" width=\"300\"><input type=\"text\" name=\"name\" size=\"40\" maxlength=\"50\"/></td>"; //Benutzername
        echo "</tr><tr>";
        echo "<td width=\"150\">Foren-Password:</td>";
        echo "<td colspan=\"2\" width=\"300\"><input type=\"password\" name=\"pw\" size=\"40\" /></td>"; //Passwort
        echo "</tr><tr>";
        echo "</table>";
        echo "<input type=\"submit\" value=\"Einloggen\" />"; //Einloggen
        echo "</form>";
        echo "<form action=\"".$config['main']['index']."\" method=\"POST\">";
        echo "<input type=\"hidden\" name=\"action\" value=\"registrieren\" />";
        echo "<input type=\"submit\" value=\"Registrieren\" />";
        echo "</form>";
    }
    public function register(){
        echo "<form action=\"einloggen.php\" method=\"POST\">";
        echo "<input type=\"hidden\" name=\"action\" value=\"register\" />"; //Registrations-Aktion auswählen
        echo "<table class=\"main_table\" align=\"center\">";
        echo "<tr><td width=\"150\">Foren-Username:</td>";
        echo "<td colspan=\"2\" width=\"300\"><input type=\"text\" name=\"name\" size=\"40\" maxlength=\"50\"/></td>"; //Benutzername
        echo "</tr><tr>";
        echo "<td width=\"150\">Foren-Password:</td>";
        echo "<td colspan=\"2\" width=\"300\"><input type=\"password\" name=\"pw\" size=\"40\" /></td>"; //Passwort
        echo "</tr><tr>";
        echo "</table>";
        echo "<input type=\"submit\" value=\"Registrieren\" />"; //Registrieren
        echo "</form>";
    }
    public function logswitch(){
        session_start();
        if ($_SESSION['log'] == "eingeloggt"){
            $this->logout();
        }
        else{
            $this->formular();
        }
    }     
    public function logout(){
    //Auslogg-Button
        echo "<form action=\"einloggen.php\" method=\"POST\">";
        echo "<input type=\"hidden\" name=\"action\" value=\"ausloggen\" />"; //Auslogg-Aktion auswählen
        echo "<td colspan=\"2\" align=\"left\"><input type=\"submit\" name=\"upload\" value=\"Ausloggen\" class=\"button\" /></td>"; //Ausloggen
        echo "</form>";
    }
    public function back_button(){
        // Zurück-Button
        echo "<form action=\"\" method=\"post\">";
        echo "<input type=\"hidden\" name=\"action\" value=\"back\">";
        echo "<p><input type=\"submit\" value=\"Zurück\"></p>";
        echo "</form>";
}
}

function salt($length="8")
{
    $set = array("a","A","b","B","c","C","d","D","e","E","f","F","g","G","h","H","i","I","j","J","k","K","l","L","m","M","n","N","o","O","p","P","q","Q","r","R","s","S","t","T","u","U","v","V","w","W","x","X","y","Y","z","Z","1","2","3","4","5","6","7","8","9");
    $str = '';

    for($i = 1; $i <= $length; ++$i)
    {
        $str .= $set[mt_rand(0, count($set)-1)];
    }

    return $str;
}

function clean(){
ob_end_clean();
ob_start();
}
?>
index.php:
PHP Code:
<?php
require_once "./func.php"; //funktionsdatei includieren
session_start();
ob_start();
if (isset($_SESSION['log'])){
    if ($_SESSION['log'] == "eingeloggt"){
        //tue was getan werden soll, wenn eingeloggt ist
    }
    else{
        $form = new form;
        $form->login();
        if (isset($_POST['action'])){
            if ($_POST['action'] == "registrieren"){
                clean();
                $form->register();
            }
        }
    }
}
else{
        $form = new form;
        $form->login();
        if (isset($_POST['action'])){
            if ($_POST['action'] == "registrieren"){
                clean();
                $form->register();
            }
        }
    }
?>
Bitte nicht über die überflüssigen Klassen etc wundern, sind nur die wichtigsten Funktionen aus den teilweise gigantischen Klassen rauskopiert und aufs wesentliche gekürtzt....
Außerdem verwende ich im Orginalscript noch eine 4. Datei Namens config.php in der ich das Array $config definiere... die Datei wird nur in die func.php includiert... :awesome:
nuja viel Spaß damit, Source mag teilweise komisch Kommentiert sein, hab die Kommentare nur schnell reingehaun (und teilweise sind noch alte drin, die garnichtmehr stimmen :awesome:)

€dit: kannst selber anpassen, alles kau ich auch ned vor... Devnotes hab ich mal rausgenommen, da das Script getestet ist, brauchste die nimmer
09/26/2011 23:53 Fratyr#28
Quote:
Originally Posted by 〤Che〤 View Post
Bitte... BITTE schließe NIEMALS vom Alter einer Person auf deren Fähigkeiten!

Hab ich nie behauptet, ist auch totaler Quatsch, weil man den Algorythmus nie umkehren werden kann (Hash = Unumkehrbare Verschlüsselung)...
MD5 - Wikipedia, the free encyclopedia <-- siehe hier
Doch doch, das kommt aufs Alter an, da man mit 14 (1997) noch garnicht in
der Lage ist genug Programmiererfahrung mitzubringen, esseiden er hat im
Alter von 7 damit angefangen, was ich doch stark bezweifle.

Nich böse gemeint, aber ihr macht es mir wirklich einfach klug zu scheißen :)
der SHA1 Algorythmus wurde geknackt, md4 glaube ich auch.
[Only registered and activated users can see links. Click Here To Register...]

Noch was zu deinem Code, Deutsch und Englisch gemischt ist ein No-Go
beim Programmieren, entscheide dich für eines der beiden!

PHP Code:
...
    // Operationen
    public  function schreiben_multi($table, $array){
    global $config;
    $abfrage = "INSERT INTO `".mysql_real_escape_string(htmlspecialchars($config['db']['prefix'].$table))."` (".mysql_real_escape_string(htmlspecialchars(arrparser::array2fields($array))).") VALUES (".mysql_real_escape_string(htmlspecialchars(arrparser::array2values($array))).")";
    $query = mysql_query($abfrage);
        if (!$query){
            echo "fail<br>";
        }
    }
... 
srsly? Das kann doch nich dein Ernst sein oder? Du scheinst den Sinn der
OOP nicht ganz verstanden zu haben, sonst würdest du deine Klassen nicht
voller HTML packen. Wieso sind deine "arrparser" statisch? Weils cool
aussieht?

Ihr (oder du) habt/hast das grundlegende Prinzip, und wie man Klassen
wirklich verwendet noch nicht wirklich verstanden, in dem Fall von deinem
Code wäre es sogar fast noch klüger prozeduralen Code zu verwenden,
da deine Klassen noch nicht wirklich einen Sinn machen, noch einem Zweck
dienen, aber das wird schon mit der Zeit, ich frag mich nur manchmal wieso
mich Leute verbessern oder über PHP/JS "aufklären" wollen, wenn sie doch
offensichtlich die Sprache (noch) nicht beherrschen? Ist nicht böse gemeint,
aber nurmal Fakt, Übung macht nicht nur den Meister, sondern auch
(Praxis)Erfahrung, und die habt ihr offensichtlich alle noch nicht!
09/27/2011 13:30 Che#29
Quote:
Originally Posted by Fratyr View Post
Doch doch, das kommt aufs Alter an, da man mit 14 (1997) noch garnicht in
der Lage ist genug Programmiererfahrung mitzubringen, esseiden er hat im
Alter von 7 damit angefangen, was ich doch stark bezweifle.

Nich böse gemeint, aber ihr macht es mir wirklich einfach klug zu scheißen :)
der SHA1 Algorythmus wurde geknackt, md4 glaube ich auch.
[Only registered and activated users can see links. Click Here To Register...]

Noch was zu deinem Code, Deutsch und Englisch gemischt ist ein No-Go
beim Programmieren, entscheide dich für eines der beiden!

PHP Code:
...
    // Operationen
    public  function schreiben_multi($table, $array){
    global $config;
    $abfrage = "INSERT INTO `".mysql_real_escape_string(htmlspecialchars($config['db']['prefix'].$table))."` (".mysql_real_escape_string(htmlspecialchars(arrparser::array2fields($array))).") VALUES (".mysql_real_escape_string(htmlspecialchars(arrparser::array2values($array))).")";
    $query = mysql_query($abfrage);
        if (!$query){
            echo "fail<br>";
        }
    }
... 
srsly? Das kann doch nich dein Ernst sein oder? Du scheinst den Sinn der
OOP nicht ganz verstanden zu haben, sonst würdest du deine Klassen nicht
voller HTML packen. Wieso sind deine "arrparser" statisch? Weils cool
aussieht?

Ihr (oder du) habt/hast das grundlegende Prinzip, und wie man Klassen
wirklich verwendet noch nicht wirklich verstanden, in dem Fall von deinem
Code wäre es sogar fast noch klüger prozeduralen Code zu verwenden,
da deine Klassen noch nicht wirklich einen Sinn machen, noch einem Zweck
dienen, aber das wird schon mit der Zeit, ich frag mich nur manchmal wieso
mich Leute verbessern oder über PHP/JS "aufklären" wollen, wenn sie doch
offensichtlich die Sprache (noch) nicht beherrschen? Ist nicht böse gemeint,
aber nurmal Fakt, Übung macht nicht nur den Meister, sondern auch
(Praxis)Erfahrung, und die habt ihr offensichtlich alle noch nicht!
Jo also mit dem Mischen von Deutsch und Englisch haste vollkommen recht, da hab ich als ich das geschrieben hab noch nicht so drauf geachtet...
Als ich das kleine Script geschrieben hab, hab ich grade erst mit PHP angefangen (ist ca n Monat her :rolleyes:)... Da wusst ich einiges noch nicht...
Natürlich kann man mit Templates arbeiten, dann wirds übersichtlicher... Natürlich kann ich meinen HTML-Code außerhalb des PHP-Codes schreiben
PHP Code:
<?php
$test = 1;
if ($test == 1){
?>
<form>
<input type="text" value="ich bin eine textbox">
</form>
<?php 
}
else
{
?>
<form>
<input type="password" value="mich kann man nicht lesen">
</form>
<?php 
} 
?>
ist mir klar, aber damals wusste ich sowas noch nicht...

Und warum meine Array-Funktionen statisch sind? Naja weil dann der Aufruf kürzer ist...
nicht statisch:
PHP Code:
 $arrparser = new arrparser;
$arrparser->array2values($array); 
statisch:
PHP Code:
 arrparser::array2values($array); 
oder spricht irgendwas gegen meine faulheit?

Zu dem Hashing-Zeug: Kann ich nit viel dazu sagen, kenn mich jetzt da nicht sooooo toll aus, ich bin jedoch der ansicht, dass man Hashes nicht umkehren kann... Verschlüsselung =/= Hash

Nebenbei: Anstatt hier nur andere zu kritisieren, könntest du ja auch mal zeigen, wie du es machen würdest....
09/27/2011 14:30 finaldown97#30
Wo wir schon dabei sind, ich habe recherchiert, mysql_real_escape_string ist garnicht so unsicher wie du behauptest. Ich denke bevor du hier so ein "Müll" verbreitest solltest du erstmal prüfen ob du recht hast. Sollte ich mich irren und du hast Recht und sogar 'nen Beweis dafür, dann entschuldige ich mich.
Page 2 of 3 1 2 3