help blowfish

Door kenny iets op 19-09-2014 16:54

6.545 views

hallo
weer een topic denk je dat klopt nu geen css/html maar php(blowfish)

ik heb me registeerder omgebouwt naar blowfish dat werkt
maar nu bij inloggen pakt die elke wachtwoord en dat moet niet he

 
login.php
<?php
require_once("config.php");
session_start();
 if (!empty(trim($_POST['username'])) && !empty(trim($_POST['password'])))
    {
    	$username = ($_POST['username']);
        $password = ($_POST['password']);
        $ha_pass = password_verify ($password , CRYPT_BLOWFISH);
 
        $sql = $mysqli->query("SELECT * from user WHERE username = '{$username}' LIMIT 1");       
        if (!$sql->num_rows == 1) {
                echo "<p>foutte gebruikersnaam/wachtwoord </p>";
        } else {
                echo "<p>Logged in successfully</p>";
                  session_regenerate_id(true);
                  $_SESSION['user'] = "test";
               
        }
	}else{
	?>
	   <form action="login.php" method="POST">
                Gebruikersnaam:<br />              
                <input type="text" placeholder="gebruikersnaam" name="username" /> <br />
                    Wachtwoord:<br />
                     
                    <input type="password" name="password" placeholder="wachtwoord" />
                     
                    <input type="submit"id="login" value="login">
                    
                    <?php if(isset($_SESSION['user']) == true){
                     echo  $_SESSION['user'];
                    }else{echo "login ";
                    }?>
             
            </form>
			<?php
			
	}
?>

registeer.php


<?php
require_once("config.php"); 
if(isset($_POST['hidden']) && $_POST['hidden'] ==1){

$username = $_POST['username'];
 $password = $_POST['password'];
 $password2 = $_POST['password2'];

if ($password == $password2){
 $sql1 = $mysqli->query("SELECT username from user WHERE username='".$username."'");
if($sql1->num_rows == 1){
echo"bestaat al";
 }else{
         $sql3 = $mysqli->query( "INSERT INTO user (`username`, `password`) VALUES ('".$username."','".password_hash($password, CRYPT_BLOWFISH)."')");
 }

}else{
	echo "passworden komen niet overeen";
}
}
?>
<html>
<head><title>registeer</title></head>
<body>

<form action='registeer.php' method='post'>
username:<input type='text'name='username'/> <br />
password: <input type='password'name='password' /> <br />
password retype: <input type='password'name='password2' /> <br />
<input type='hidden' name='hidden' value=1>
<input type='submit' value='registeer'>
</form>

</body>
</html>

Bart V B

23-09-2014 09:31

Zal een keer je laten zien hoe je het ongeveer moet doen:
login.php


<?php
session_start();

$mysqli = new mysqli('host', 'user', 'password', 'database'); 
if(mysqli_connect_errno()) 
{ 
    trigger_error('Fout bij verbinding: '.$mysqli->error); 
} 


if( $_SERVER['REQUEST_METHOD'] == 'POST' )
{
	$options = [
			'cost' => 10
		   ];
		   
	$username = $mysqli->real_escape_string($_POST['username']);
	
	$sql = "SELECT username FROM user WHERE username= '".$username."' AND password = '".password_hash($_POST['password'], PASSWORD_BCRYPT, $options)."'";
	
	if(!$result = $mysqli->query($sql)) 
	{ 
    trigger_error('Fout in query: '.$mysqli->error); 
	} 
	else 
	{ 
    	if( $result->num_rows > 0 )
    	{
			// session aanmaken
			$_SESSION['loggedin'] = true;
			// doorsturen naar beveiligde pagina
			header('Location: beveiligdepagina.php');
			exit();
		}
		else
		{
			echo 'Login gegevens kloppen niet.';
		}
    	
	} 

}
?>

<html>
<head><title>Login</title></head>
<body>

<form action="login.php" method="post">
username: <input type="text" name="username" /> <br />

password: <input type="password" name="password" /> <br />

<input type="submit" value="registeer">
</form>

</body>
</html>

Sam van Broemsen

23-09-2014 16:57 gewijzigd op 23-09-2014 16:58

Nooit een error aan een gebruiker laten zien, die $mysqli->error; moet dus weg als het systeem openbaar wordt gemaakt.

Ward van der Put

23-09-2014 17:04

Sam, er staat geen echo voor, hè.

Een professionele productieomgeving stel je zó in dat elke kritieke error of exception centraal wordt afgehandeld en in een log verschijnt. Dáár bepaal je vervolgens ook wat de gebruiker ervan te zien krijgt, bijvoorbeeld een foutmelding.

Sam van Broemsen

23-09-2014 17:16

Ward van der Put op 23/09/2014 17:04:43

Sam, er staat geen echo voor, hè.

Een professionele productieomgeving stel je zó in dat elke kritieke error of exception centraal wordt afgehandeld en in een log verschijnt. Dáár bepaal je vervolgens ook wat de gebruiker ervan te zien krijgt, bijvoorbeeld een foutmelding.

Een foutmelding laten zien is prima,
Maar om alle informatie over de fout te laten zien is een beetje overbodig en komt onprofessioneel over. Wanneer mensen bij Google een foutje maken en er misschien een MySQL-Error komt, dan is de fout toch ook niet meteen zichtbaar?

Ward van der Put

23-09-2014 17:24

>> Maar om alle informatie over de fout te laten zien is een beetje overbodig en komt onprofessioneel over.

Dat doet trigger_error() in het voorbeeld van Bart ook helemaal niet. trigger_error() laat het PHP-script een user error gooien. Wat je daarmee vervolgens doet, is aan jou.

Bart V B

23-09-2014 18:22

Sam,
Ik maak al lang genoeg scripts om te weten hoe het wel en niet moet.
Op of aanmerkingen betreft mijn voorbeeld zijn prima. Maar laat het dan ook zien met een beter voorbeeld en kijk dan eerst even wat een ding doet zoals trigger_error().

kenny iets

23-09-2014 19:49

Bart V B op 23/09/2014 09:31:44

Zal een keer je laten zien hoe je het ongeveer moet doen:
login.php


<?php
session_start();

$mysqli = new mysqli('host', 'user', 'password', 'database'); 
if(mysqli_connect_errno()) 
{ 
    trigger_error('Fout bij verbinding: '.$mysqli->error); 
} 


if( $_SERVER['REQUEST_METHOD'] == 'POST' )
{
	$options = [
			'cost' => 10
		   ];
		   
	$username = $mysqli->real_escape_string($_POST['username']);
	
	$sql = "SELECT username FROM user WHERE username= '".$username."' AND password = '".password_hash($_POST['password'], PASSWORD_BCRYPT, $options)."'";
	
	if(!$result = $mysqli->query($sql)) 
	{ 
    trigger_error('Fout in query: '.$mysqli->error); 
	} 
	else 
	{ 
    	if( $result->num_rows > 0 )
    	{
			// session aanmaken
			$_SESSION['loggedin'] = true;
			// doorsturen naar beveiligde pagina
			header('Location: beveiligdepagina.php');
			exit();
		}
		else
		{
			echo 'Login gegevens kloppen niet.';
		}
    	
	} 

}
?>

<html>
<head><title>Login</title></head>
<body>

<form action="login.php" method="post">
username: <input type="text" name="username" /> <br />

password: <input type="password" name="password" /> <br />

<input type="submit" value="registeer">
</form>

</body>
</html>

moet
password_hash
password_verify
zijn?

Sam van Broemsen

24-09-2014 15:53

Ik snap zelf niet hoe je daar op bent gekomen.

Een hash kan nooit het zelfde zijn.

Je moet de wachtwoorden uit de db halen waarvan de gebruikersnaam $_POST['username'] is.

Dan doe je if (password_verify($_POST['username'], $passwordvandb)) : echo "Jippie!"; else : "Mwahh.. Niet gelukt."; endif;

En als dat nog te moeilijk is, dan vraag ik je om eerst de basis van if statements te leren, of eerst een inlogsysteem maken zonder iets gehasht. Dit is echter wel heel onveilig, maar het is waarschijnlijk wel handig om te weten hoe een inlogsysteem werkt.

kenny iets

27-09-2014 15:45

dit heeft een vriend voor me gemaakt :)
[code]
<?php
require "config.php";
if ($_SERVER['REQUEST_METHOD'] == "POST") {
if ($_POST['username'] == NULL) {
$login_error = "username in vullen aub";
}
if ($_POST['password'] == NULL) {
$login_error = "password invullen aub";
}

if (isset($_POST['password']) && isset($_POST['username'])) {

$username = $mysqli->real_escape_string($_POST['username']);
$password = CRYPT_BLOWFISH;

$query = $mysqli->query("SELECT * FROM user WHERE username = ".$username." AND password = ".$password." LIMIT 1");

if ($query->num_rows == 1) {

$row = $query->fetch_assoc();

$_SESSION['loggedin'] = TRUE;
$_SESSION['username'] = $_POST['username'];
$_SESSION['uid'] = $row['id'];
header("location: member.php");

} else {
header('Location: index.php');
echo "user bestaat niet";
exit;
}
}
}

?>
<html>
<head>
<title>Inloggen</title>
</head>
<body>
<form method="POST">
<?php if(isset($username) == TRUE){ echo $username; }else{echo "username";}?>: <input type="text" name="username"><br>
<?php if(isset($password) == TRUE){ echo $password; }else{echo "password";}?>: <input type="password" name="password"><br>
<input type="submit" value="<?php echo "login " ?>"><br>
</form>
</body>
</html>
[/code/

Dos Moonen

27-09-2014 19:24

Hij snapt het blijkbaar ook niet helemaal.

password_hash() is op het moment van schrijven een wrapper om de crypt() functie handige defaults. Dit komt omdat de enige mode die er nu voor bestaat PASSWORD_BCRYPT is. In de toekomstige PHP versies kunnen er nieuwe modi bij komen en kan de default ook veranderen.

password_hash() heeft drie parameters, waarvan maar één verplicht is.
- het wachtwoord
- optioneel: de modus
- optioneel: modus specifieke opties

De standaard modus is op het moment de enige modus: PASSWORD_BCRYPT.
De opties voor de modus PASSWORD_BCRYPT zijn de 'cost' en de 'salt'.

De cost is een waarde van 4 tot en met 31. 2 to de macht 'cost' is het aantal hash iteraties dat wordt gedaan. Stel dit zo in dat het 100-300 milliseconden duurt voor het hashen van een wachtwoord. Dat is snel genoeg voor één succesvolle login, maar traag genoeg om (offline) bruteforce aanvallen miljarden euro's te laten kosten en je dus de user de schuld kan geven omdat het een slecht wachtwoord heeft gekozen als het gekraakt wordt.

De salt wil je eigenlijk nooit zelf instellen, de standaard manier genereert die namelijk op een veilige manier. Don't try this at home, unless you are an expert.
De bedoeling van een salt is om te zorgen dat wanneer gebruikers het zelfde wachtwoord te hebben ze niet ook nog eens de zelfde hash hebben. Salts horen dus uniek te zijn. Je zou dit in theorie kunnen forceren door zelf salt in te stellen maar in de praktijk is dit het niet waard.

Doordat salts dus telkens gegenereerd worden zal er dus telkens een nieuwe hash gegenereerd worden, ook al hash je telkens het zelfde wachtwoord.
Maar je hebt natuurlijk wel de originele salt nodig om er achter te komen of het ingevoerde wachtwoord de zelfde hash oplevert. Dat is de reden dat de salt in de hash verwerkt zit, net als de cost aangezien deze ook invloeg heeft op de uiteindelijke hash.

Dus het resultaat van bcrypt is eigenlijk geen hash omdat de hash maar een deel is van het resultaat.
Een username en wachtwoord is dus genoeg input van de gebruiker om te controleren of de gebruiker wel is wie hij/zij zegt dat hij is:
1) Probeer het resultaat van password_hash() dat is opgeslagen in dat database op te halen met een query waar de username in verwerkt is.
2) Als er geen user met die username gevonden is weergeef je een error.
3) Als er wel een user is met die username heb je dus je password_hash() resultaat dat de cost, salt en hash bevat.
4) Voer password_verify() de door de gebruiker opgegeven password en het password_hash() resultaat.
5) Weergeef een error als het resultaat van password_verify() FALSE is.
6) Log de gebruiker in als het resultaat van password_verify() TRUE is.

Wat er dus fout is aan het bovenstaande script is dat de query kijkt of het wachtwoord '1' is. Haal alles vanaf 'AND'. LIMIT 1 mag op zich blijven.
Er is geen if waar je controleert wat het resultaat van password_verify($POST['password'], $row['password']) is.

Voor de rest kunnen er nog dingen netter:
- geen star-select, selecteer alleen het veld password.
- gebruik op regels 4 en 7 !isset($POST['blabla']) en niet $POST['blabla'] == NULL
- een exit na regel 26.
- regels 43 en 44 zijn alleen om te testen neem ik aan? Het wachtwoord in HTML proberen te zetten is geen goed idee namelijk. Sowieso hoort heel die $password variabele weg te kunnen.

Reageren

Inloggen om te reageren