[PHP] Passwort Validation

[Pr0xyPlayZ]

Hallo,

komischerweise ist jedes Passwort valide obwohl es eigentlich Invalide ist. Was mache ich falsch?

PHP Code:

<?php

$connection = new PDO('mysql:host=localhost;dbname=asasas', 'asasasas', 'asasasas');

if (isset($_GET["username"]) && !empty($_GET["password"])) {
    $username = $_POST["username"];
    $password = $_POST["password"];
    $hash = password_hash($password, PASSWORD_DEFAULT);  
    echo $hash;
} else {  
    echo 'Einfach mal nö';
}

$stmt = $connection->prepare("SELECT * from users WHERE `username` = :username AND password = :password");
$stmt->bindValue(":username", $username);
$stmt->bindValue(":password", $hash);
$stmt->execute();

if (password_verify($password, $hash)) {
    echo '1';
}
else {
    echo '0';
}
?>

[ComputerBaer]

Ist schon einige Jahre her, dass ich mit PHP gearbeitet habe, aber ich versuchs mal.

Du bekommst ein Passwort und einen Benutzernamen übergeben, erzeugst von diesem Passwort den Hash und überprüfst dann, ob das Passwort zu dem Hash passt. Das ist natürlich immer der Fall, weil du ja das Passwort mit dem Hash vergleichst, den du von eben diesem Passwort erzeugt hast.

Deine Datenbankabfrage dazwischen hat keinen Effekt. Du fragst zwar die Daten eines Benutzers ab, der den selben Benutzernamen und den selben Passworthash hat, aber du interessierst dich nicht für das Ergebnis.

Mögliche Lösungen:
- Um zu erkennen, ob es einen Benutzer mit dem Passwort gibt, solltest du also prüfen, ob du einen Datensatz aus der Datenbank zurückbekommen hast. Wenn es einer ist, gibt es einen Benutzer mit dem Passwort und deine Passwortüberprüfung war erfolgreich. Ein Vergleich mit dem Hash in PHP ist dann nicht notwendig.
- Der Vergleich von Passwort und Hash würde nur Sinn ergeben, wenn du den Benutzer nur über seinen Namen aus der Datenbank holst und dann den Hash aus der Datenbank mit dem eingegeben Passwort vergleichst. Wenn das erfolgreich ist, stimmen Benutzernamen und Passwort des Benutzers.

Edit:
Ich sehe gerade, du hast da noch ein merkwürdiges Konstrukt in deinem Code. Du holst die Benutzernamen und Passwort aus $_POST, prüfst davor allerdings die Werte von $_GET. Ich weiß ja nicht wie du die Seite aufrufst, aber es wäre sinnvoll dich für GET oder POST für die Daten zu entscheiden, dabei wäre POST zu empfehlen, da du Daten überträgst die nicht im Browserverlauf oder deinen Logdateien auf dem Server stehen sollten.

[Mad0ck]

Mir wurde auch schon öfters gesagt, dass man das Passwort Clientseitig mittels javaScript hashen soll zwecks Sicherheit.

[florian0]

Originally Posted by Mad0ck

Mir wurde auch schon öfters gesagt, dass man das Passwort Clientseitig mittels javaScript hashen soll zwecks Sicherheit.

Klingt nach ner ziemlich beschissenen Idee ...

[Mad0ck]

Originally Posted by florian0

Klingt nach ner ziemlich beschissenen Idee ...

Wenn du das mit PHP verschlüsselst, soll das Passwort dennoch irgendwo im Klartext übertragen werden, und nicht direkt hashed .

Sofern das überhaupt stimmt würde dann eine direkte Client seitige Verschlüsselung schon Sinn machen oder o.o

[False]

Originally Posted by Mad0ck

Wenn du das mit PHP verschlüsselst, soll das Passwort dennoch irgendwo im Klartext übertragen werden, und nicht direkt hashed .

Sofern das überhaupt stimmt würde dann eine direkte Client seitige Verschlüsselung schon Sinn machen oder o.o

Wenn du das im Javascript "verschlüsselst" dann wird es doch erst recht hashed übertragen..
Es macht 0 Sinn es im Javascript zu tun...

[florian0]

Originally Posted by Mad0ck

Wenn du das mit PHP verschlüsselst, soll das Passwort dennoch irgendwo im Klartext übertragen werden, und nicht direkt hashed .

Sofern das überhaupt stimmt würde dann eine direkte Client seitige Verschlüsselung schon Sinn machen oder o.o

Wenn das Passwort als Hash übertragen wird, wirst du es auf dem Server ja auch schon als Hash speichern. Dein Passwort ist dann zwar nicht mehr im "Klartext", dafür entspricht der übertragene Hash dem Wert in der Datenbank und im Falle eines Hacks braucht der Hacker dann nicht mal mehr die Hashes zu knacken, schließlich akzeptiert dein Login ja die gehashten Passwörter.

Was du damit tust ist klar: Du überträgst das Passwort zwar nicht mehr im Klartext, dafür speicherst du es im "Klartext".

Wenn das Passwort verschlüsselt wird statt gehashed, sieht das Ganze anders aus. Dann musst du aber ne asymetrische Chiffre mit nem sicheren Key nehmen sonst ist der Key ja bekannt.

In beiden Fällen ist es aber auch nur annähernd sicher wenn du auch die Integrität des JS prüfst. Jemand der auf den Datenstrom zugreifen kann in der Regel auch Einfluss auf die übertragenen Inhalte haben und damit deiner Verschlüsselung einfach nen Channel für den Datenexport verpassen und niemand merkt es.

[th0rex]

Originally Posted by florian0

Dein Passwort ist dann zwar nicht mehr im "Klartext", dafür entspricht der übertragene Hash dem Wert in der Datenbank und im Falle eines Hacks braucht der Hacker dann nicht mal mehr die Hashes zu knacken, schließlich akzeptiert dein Login ja die gehashten Passwörter.

Man kann aber den übermittelten Hash auf dem Server nochmal hashen, dann muss der Angreifer trotzdem das Passwort kennen und nicht nur den Hash (oder halt die auf dem Server verwendete Hash Funktion brechen können, was er aber beim "normalen" Verfahren ja auch müsste).

Aber es stimmt, dass es nicht wirklich mehr Sinn macht das PW clientseitig zu hashen, die Verbindung sollte sowieso sicher verschlüsselt sein, und wenn sie das nicht ist hilft auch ein clientseitiges hashen nicht.

[florian0]

Originally Posted by C0untLizzi

Man kann aber den übermittelten Hash auf dem Server nochmal hashen, dann muss der Angreifer trotzdem das Passwort kennen und nicht nur den Hash (oder halt die auf dem Server verwendete Hash Funktion brechen können, was er aber beim "normalen" Verfahren ja auch müsste).

Ja aber das bringt ja nix. Dann hast du halt nen Hash der dein "Plaintext" wird und der Hash vom Hash der dein "Ciphertext" wird. Entweder man holt sich das PW mitm Keylogger, dann ist eh death, oder durch Netzwerkmitschnitt (was Madock ja verhindern wollte), dann ists auch RIP. Durch den clientside Hash gewinnst du nichts außer vielleicht mehr Stellen im PW zum Preis eines wesentlich verringerten Charset. Doppelter Hash verhindert nur das man an das eigentliche PW kommt, aber das muss man ja auch nicht mehr.

[/exit]

Originally Posted by .Neø

...

PHP Code:

<?php
...
if (isset([B]$_GET[/B]["username"]) && !empty([B]$_GET[/B]["password"])) {
    $username = [B]$_POST[/B]["username"];
    $password = [B]$_POST[/B]["password"];
    $hash = password_hash($password, PASSWORD_DEFAULT);  
    echo $hash;
} else {  
    echo 'Einfach mal nö';
}
...
?>

Du musst ja im <form> Tag eine Methode und eine Action angeben wenn die Methode POST ist und zu einem Login weiterleitet musst du dort auch mit POST Arbeiten.

Denn du kannst eine POST übergabe nicht mit GET verarbeiten.
GET Variablen werden mittels URL übergeben und POST Variablen werden mittels Formular übergeben somit macht deine if-Abfrage schon kein Sinn mehr. Mach aus $_GET einfach $_POST und es sollte eigentlich funktionieren.

#verbessertmichwennichfalschliegedanke

[Pr0xyPlayZ]

PHP Code:

<?php

$connection = new PDO('mysql:host=localhost;dbname=xxx', 'xxx', 'xxx');


$username = $_GET["username"];
$password = $_GET["password"];

$stmt = $connection->prepare("SELECT * from users WHERE `username` = :username AND password = :password");
$stmt->bindValue(":username", $username);
$stmt->bindValue(":password", $password);
$stmt->execute();

if ($stmt->fetchColumn() == 1) {
    echo '1';
}
else {
    echo '0';
}
?>

PHP Code:

using System;
using System.Net;
using System.Windows.Forms;

namespace AmestrisRP___ACLS
{
    public partial class Form1 : Form
    {
        public Form1()
        {
            InitializeComponent();
        }

        private void button1_Click(object sender, EventArgs e)
        {
            string response = new WebClient().DownloadString("https://meinedomain.com/login/login.php?username=" + textBox1.Text + "&password=" + textBox2.Text);
            switch (response.ToLower())
            {
                
                case "0":
                    {
                        MessageBox.Show("Benutzername / Passwort falsch!");
                        break;
                    }
                case "1":
                    {
                        //MessageBox.Show("Willkommen zurück " + textBox1.Text);

                        string theUsername = textBox1.Text;
                        Properties.Settings.Default.LastUsername = theUsername;
                        Properties.Settings.Default.Save();
                        this.Hide();
                        Anwendung app = new Anwendung();
                        app.Show();
                        break;
                    }
                default:
                    break;
            }
        }
    }
} 


Fixxed ...

[lnqlorlouz]

Originally Posted by .Neø

PHP Code:

<?php

$connection = new PDO('mysql:host=localhost;dbname=acls', '', '');


$username = $_GET["username"];
$password = $_GET["password"];

$stmt = $connection->prepare("SELECT * from users WHERE `username` = :username AND password = :password");
$stmt->bindValue(":username", $username);
$stmt->bindValue(":password", $password);
$stmt->execute();

if ($stmt->fetchColumn() == 1) {
    echo '1';
}
else {
    echo '0';
}
?>

PHP Code:

using System;
using System.Net;
using System.Windows.Forms;

namespace AmestrisRP___ACLS
{
    public partial class Form1 : Form
    {
        public Form1()
        {
            InitializeComponent();
        }

        private void button1_Click(object sender, EventArgs e)
        {
            string response = new WebClient().DownloadString("https://meinedomain.com/login/login.php?username=" + textBox1.Text + "&password=" + textBox2.Text);
            switch (response.ToLower())
            {
                
                case "0":
                    {
                        MessageBox.Show("Benutzername / Passwort falsch!");
                        break;
                    }
                case "1":
                    {
                        //MessageBox.Show("Willkommen zurück " + textBox1.Text);

                        string theUsername = textBox1.Text;
                        Properties.Settings.Default.LastUsername = theUsername;
                        Properties.Settings.Default.Save();
                        this.Hide();
                        Anwendung app = new Anwendung();
                        app.Show();
                        break;
                    }
                default:
                    break;
            }
        }
    }
} 


Fixxed ...

Ich würde die Datenbank-Config rausnehmen und wie von manchen Usern schon angesprochen, das Passwort niemals über GET zu holen...wieso nutzt du nicht einfach POST?

[#Saiirex]

Originally Posted by .Neø

PHP Code:

<?php

$connection = new PDO('mysql:host=localhost;dbname=acls', 'acls', 'Kdp53!x7');


$username = $_GET["username"];
$password = $_GET["password"];

$stmt = $connection->prepare("SELECT * from users WHERE `username` = :username AND password = :password");
$stmt->bindValue(":username", $username);
$stmt->bindValue(":password", $password);
$stmt->execute();

if ($stmt->fetchColumn() == 1) {
    echo '1';
}
else {
    echo '0';
}
?>

PHP Code:

using System;
using System.Net;
using System.Windows.Forms;

namespace AmestrisRP___ACLS
{
    public partial class Form1 : Form
    {
        public Form1()
        {
            InitializeComponent();
        }

        private void button1_Click(object sender, EventArgs e)
        {
            string response = new WebClient().DownloadString("https://meinedomain.com/login/login.php?username=" + textBox1.Text + "&password=" + textBox2.Text);
            switch (response.ToLower())
            {
                
                case "0":
                    {
                        MessageBox.Show("Benutzername / Passwort falsch!");
                        break;
                    }
                case "1":
                    {
                        //MessageBox.Show("Willkommen zurück " + textBox1.Text);

                        string theUsername = textBox1.Text;
                        Properties.Settings.Default.LastUsername = theUsername;
                        Properties.Settings.Default.Save();
                        this.Hide();
                        Anwendung app = new Anwendung();
                        app.Show();
                        break;
                    }
                default:
                    break;
            }
        }
    }
} 


Fixxed ...

Warum ein switch/case wenn es nur 2 Fälle gibt? Und warum wird das Passwort über GET übergeben?

[sk8land​]

Zuerst wird darüber diskutiert, wie man am besten Passwörter übermittelt und in einer DB speichert. Sehr gut, wie OP einfach alles ignoriert und eine Lösung vorschlägt, in der die Passwörter in Plaintext gespeichert werden.

[Pr0xyPlayZ]

man bekommt keine brauchbare antwort mit example nur lange texte wie es gehen könnte das bringt nix meine lösung funktioniert und bin damit zufrieden