Login MySQL / PHP SICHER????

[splash_iem]

hallo zusammen,

ich habe jetzt einen Login geschrieben und frage mich jetzt ob er auch sicher genug ist...
Vielleicht Schaut ihr es euch mal an.

Danke im Voraus und mit freundlichem Gruß

<?php
session_start();
?>

<?php

$verbindung = mysql_connect("localhost", "BENUZER" , "PASSWORT")
or die("Verbindung zur Datenbank konnte nicht hergestellt werden");

mysql_select_db("DATENBANK") or die ("Datenbank konnte nicht ausgewählt werden");

$username = $_POST["username"];
$password = $_POST["password"];

$abfrage = "SELECT NICKNAMENSPALTE, KENNWORTSPALTE FROM TABELLE WHERE Nickname = '".$username."'";
$ergebnis = mysql_query($abfrage)
or die("Error: $abfrage <br>".mysql_error);


while ($row = mysql_fetch_object($ergebnis))

if($row->Kennwort == $password)
    {
    $_SESSION["username"] = $username;
    echo "Login erfolgreich. <br> <a href=\"geschuetzerbereich.html\">Geschützer Bereich</a>";
    }
else
    {
    echo "Benutzername und/oder Passwort waren falsch. <a href=\"loginformular.html\">Login</a>".$row->Kennwort."test";

    }

?>

[Flor1an]

Nein ganz und gar nicht.

1. SQL Injection ist möglich.
2. Anscheinend speicherst du deine Passwörter im Klartext. Das solltest du vermeiden. Speichere sie als "salted Hash".

Du solltest auserdem den Login auf maximal einen User beschränken. Da du im Query mehrere User ausliest und dann auch noch in einer Schleife überprüfst ob das Passwort stimmt kann es da schnell zu Problemen kommen.

Ansonsten lies dir mal folgendes durch:
Hinweis:
[!] Bitte lies dir diesen Thread zu den Grundlagen von PHP durch. Die Grundlagen sind essentiell für das Arbeiten mit PHP, MySQL, HTML, JavaScript oder CSS!

[splash_iem]

Danke schonmal für die schnelle Antwort...

was genau kann bzw. muss ich ändern?

[ToxicToast]

Wie gesagt, speichere deine Passwörter nicht im Klartext.
Ich kann md5(); empfehlen.

Folglich würde deine Variable nun so aussehen:
$password = md5($_POST["password"]);

Und am besten liest du dir den Artikel mal durch:
SQL-Injection – Wikipedia

[Flor1an]

@ToxicToast: Wieso kannst du md5 empfehlen? Man sollte md5 nicht einfach nur so verwenden. Es sollte immer noch ein Salt verwendet werden.

Zu den Punkten solltest du selbst mal googlen um was es geht und wie man es beheben kann. Und du solltest prüfen ob $_POST['username'] und $_POST['password'] überhaupt gesetzt sind.

[splash_iem]

Und du solltest prüfen ob $_POST['username'] und $_POST['password'] überhaupt gesetzt sind.

sry, aber das verstehe ich nicht so ganz...


und mit md5 bin ich mir auch noch nicht so sicher ob das die ideale lösung ist

[Flor1an]

Man sollte immer Abfragen ob eine Variable gesetzt ist. Was ist wenn jemand das Formular abschickt, aber nur das Inputfeld für den Usernamen im Formular mitgeschickt wird? Dann kommt ein Fehler weil $_POST['password'] nicht existiert. Diesen solltest du aber abfangen.

md5 solltest du mit Salt verwenden, dann spricht imho nichts dagegen!

[ToxicToast]

Von "einfach nur so" verwenden war ja auch nicht dir rede.
Aber stimmt, du hast Recht, gibt mitlerweile genügend Programme die Hash's entschlüsseln können...

Allerdings:
Die Sicherheit hängt hier mal wieder ganz vom Entwicker ab.
Wie lang ist der private Schlüssel?
Wieviele Sonderzeichen und kryptische Reihenfolgen hat der private Schlüssel
Wie sicher ist der Server konfiguriert
usw usw...

[Flor1an]

Naja gut es geht jetzt ums PHP Skript, da brauchen wir nicht noch über die Sicherheit des Servers reden

Und "Programme die Hash's entschlüsseln können" würde ich gerne noch richtig stellen. Ein Hash kann nicht entschlüsselt werden, er wird schließlich auch nicht verschlüsselt. Er kann nur in Tabellen nachgeschlagen werden ob er zufällig in dieser Tabelle drinnen steht und dazu dann der Klartext.

Klar hängt die Sicherheit dann vom Salt ab, aber es sollte leicht sein zumindest den Salt etwas komlizierter zu gestallten.

[ToxicToast]

"Programme die Hash's entschlüsseln können" gut, dann war hier die Wortwahl unglücklich gewählt
Btw. ich glaub das hier wird Offtopic XD

@splash_iem
Prüfen tust du das mit isset.
Tutorials dazu gibts wie Sand am Meer =p

[splash_iem]

Vielen Dank für die Antworten

Ich setze mich noch einmal ran, und dann poste ich es vll noch einmal

LG

[splash_iem]

das mit dem $password = md5($_POST["password"]); klappt iwie nicht...

der gibt mir dann immer aus, dass das bn und oder pw falsch ist - warum?

Kann das vll an der Tabelle liegen?

CREATE TABLE benutzerdaten (
  Id Int(11) NOT NULL auto_increment,
  Nickname VarChar(50) NOT NULL default '',
  Kennwort VarChar(50) NOT NULL default '',
  Nachname VarChar(50) NOT NULL default '',
  Vorname VarChar(50) NOT NULL default '',
  PRIMARY KEY (Id)
)

[Flor1an]

Es muss natürlich auch der md5 Hash des Passwortes in der Datenbank gespeichert werden!

[splash_iem]

hab ich mir doch gedacht

wie muss ich die spalte denn nennen?

[lstegelitz]

wie muss ich die spalte denn nennen?

Das bleibt dir überlassen