Login systeem

<?php
/*
Auteur: Cas Buijs
Naam: index.php
Functie: Admin Login
Beschrijving: 	Het script encrypt het ingevoerde wachtwoord, 
				controleert de ingevoerde gegevens met de gegevens uit de database,
				geeft een foutmelding wanneer de gegevens onjuist zijn,
				encrypt een sessie voor de gebruiker wanneer de gegevens juist zijn.

*/

//Start Sessie
session_start();

//Configuratiebestanden includen
include('configuratie.php');
include('procedures/geldig_ip.php');
include('procedures/maak_functies.php');
include('talen/nl.php');

//Vooraf ingevulde sessie legen
if (isset($_SESSION['login']))
{
	unset($_SESSION['login']);
}

//Controleren of de gebruiker een geldig ip-adress gebruikt.
$ip = $_SERVER['REMOTE_ADDR'];
if (!get_valid_ip($ip)) 
{
	echo $sMelding[7];
}
else
{

	//Controleren of de sessie al bestaat
	if (!isset($_SESSION['pogingen']))
	{
		$_SESSION['pogingen'] = 0;
	}

	//Beveiliging brute-force
	if ($_SESSION['pogingen'] >= 10)
	{
		echo $sMelding[5];
	}
	else
	{

		//Controleren of iemand wil inloggen
		if (isset($_POST['login']))
		{
			

			//Controleren of er een gebruikersnaam is opgegeven
			if (!isset($_POST['gbnaam']) OR empty($_POST['gbnaam']))
			{
				echo $sMelding[1];
			}
			else
			{
				
			
				//Controleren of het wachtwoord veld wel door de javascript is geleegd
				if(!empty($_POST['gbpass']))
				{
					echo $sMelding[12];
				}
				else
				{

					//Controleren of er een geencrypt wachtwoord is meegestuurd
					if (!isset($_POST['hash']) OR empty($_POST['hash']))
					{
						echo $sMelding[2];
					}
					else
					{
				
						//Controleren of er een challenge is meegestuurd
						if (!isset($_POST['challenge']) OR empty($_POST['challenge']))
						{
							echo $sMelding[11];
						}
						else
						{
				
							//Controleren of er een response is meegestuurd
							if (!isset($_POST['response']) OR empty($_POST['response'])) //Anti Manipulatie
							{
								echo $sMelding[11];
							}
							else
							{

								//Controleren op illegale tekens in de gebruikersnaam
								if(!preg_match('/^[a-zA-Z0-9]+$/',$_POST['gbnaam'])) //Anti Manipulatie
								{
									echo $sMelding[3];
								}
								else
								{

									//Controleren op illegale tekens door manipulatie in het hash veld
									if(!preg_match('/^[a-zA-Z0-9]+$/',$_POST['hash'])) //Anti Manipulatie
									{
										echo $sMelding[3];
									}
									else
									{
						
										//Controleren of de gegevens de vereiste lengte hebben
										if (strlen($_POST['gbnaam']) >= 15)
										{
											echo $sMelding[9];
										}
										else
										{
							
											//Controleren of de waarde wel een sha512 hash waarde is
											if (strlen($_POST['hash']) != 128)
											{
												echo $sMelding[11];
											}
											else
											{
								
												//Controleren of de waarde wel een sha512 hash waarde is
												if (strlen($_POST['response']) != 128)
												{
													echo $sMelding[11];
												}
												else
												{

													//Controleren of de challenge waarde overeen komt
													if ($_SESSION['challenge'] != $_POST['challenge'])
													{
														echo $sMelding[11];
													}
													else
													{
									
														//Controleren of de response juist is
														$deelteken = ':';
														$responsecontrol = $_POST['hash'].$deelteken.$_SESSION['challenge'];
														if (hash("sha512", $responsecontrol) != $_POST['response'])
														{
															echo $sMelding[11];
														}
														else
														{
														
															//Wachtwoord Encryptie
															$wachtwoord = maak_wachtwoord($_POST['hash']);
															
															//Verbinding maken met de database
															$qGegeven = "SELECT naam,wachtwoord FROM login WHERE naam='".mysql_real_escape_string($_POST['gbnaam'])."' LIMIT 0,1";
															$qGegevenquery = mysql_query($qGegeven);

															//Controleren op fouten in de verbinding
															if ($qGegevenquery === false)
															{
																echo $sMelding[4];
															}
															else
															{

																//Gegevens beschikbaar stellen
																$gegevens = mysql_fetch_array($qGegevenquery);
	
																//Wachtwoord verifieren
																$verify = controleer_wachtwoord($_POST['hash'], $gegevens['wachtwoord']);

																//Controleren of het ingevulde wachtwoord, ook het echte wachtwoord is
																if ($verify == 1)
																{

																	echo $sMelding[6]; //Bevestigings bericht als de inlog gelukt is.
																	header('Refresh: 2; url=home/index.php'); //Na 2 seconden wordt de gebruiker naar de volgende pagina doorgestuurd

																	//Sessie encryptie wordt gemaakt
																	$sessie = maak_sessie($_POST['gbnaam']);

																	//Sessie maken om de gebruiker later te kunnen herkennen
																	$_SESSION['login'] = $sessie;
																	$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];

																	//Sessie in de database bijhouden
																	$qSessie = "UPDATE login SET sessie='".mysql_real_escape_string($sessie)."', ip='".mysql_real_escape_string($_SERVER['REMOTE_ADDR'])."', useragent='".mysql_real_escape_string($_SERVER['HTTP_USER_AGENT'])."' WHERE naam='".mysql_real_escape_string($_POST['gbnaam'])."'";
																	$qSessiequery = mysql_query($qSessie);

																	//Controleren of de sessie naar de database is geschreven
																	if ($qSessiequery === false)
																	{
																		echo $sMelding[4];
																	}
																	else
																	{

																		//Foutieve inlog pogingen herstellen
																		$_SESSION['pogingen'] = 0;

																		sleep(1); //Anti Brute-Force
																	}
																}
																else
																{
																	echo $sMelding[3]; //Melding van foute login
	
																	//Aantal pogingen verhogen
																	$_SESSION['pogingen'] = $_SESSION['pogingen'] + 1;
																		
																	sleep(1); //Anti Brute-force
																		
																}//Foutieve login
															}//Foute sql query bij controle of de gebruiker bestaat	
														}//Einde response controle
													}//Einde challenge controle
												}//Response lengte controle
											}//Hash lengte controle
										}//Gebruikersnaam lengte controle
									}//Hash Pregmatch
								}//Gebruikersnaam Pregmatch
							}//Response ingevuld of niet
						}//Challenge ingevuld of niet
					}//Hash ingevuld of niet
				}//Wachtwoord veld geleegd of niet
			}//Gebruikersnaam ingevuld of niet
		}//Einde login script
	}//Einde Brute-Force beveiliging
}//Einde Geldig-IP controle
	
	
//Nieuwe challenge sessie maken
$_SESSION['challenge'] = maak_challenge();

?>
<script type="text/javascript" src="modules/encryption.js"></script>
<script type="text/javascript">
<!--
	function antiPostBack()
	{
		document.getElementById( 'hash' ).value = hex_sha512( document.getElementById( 'gbpass' ).value );
		document.getElementById( 'response' ).value = hex_sha512( hex_sha512( document.getElementById( 'gbpass' ).value ) + ":" + document.getElementById( 'challenge' ).value);
		document.getElementById( 'gbpass' ).value = '';
		return true;
	}
//-->
</script>
<!DOCTYPE html>
<html>
	<head>
		<title>Login</title>
		<link rel="icon" type="image/png" href="favicon.png" />
		<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
		<link href="style/login.css" rel="stylesheet" type="text/css" />
	</head>
	<body>
		<h1>Login</h1>
		<form method="post" onsubmit="return antiPostBack();">
			<table id="table">
				<tr>
					<td>Gebruikersnaam: </td>
					<td><input type="text" name="gbnaam"></td>
				</tr>
				<tr>
					<td>Wachtwoord: </td>
					<td><input type="password" id="gbpass"></td>
				</tr>
				<tr>
					<td></td>
					<td><input type="submit" name="login" value="Login"></td>
				</tr>
				<tr>
					<td></td>
					<td><input type="hidden" name="challenge" id="challenge" value="<?php echo $_SESSION['challenge'];?>"></td>
				</tr>
				<tr>
					<td></td>
					<td><input type="hidden" name="hash" id="hash" value=""></td>
				</tr>
				<tr>
					<td></td>
					<td><input type="hidden" name="response" id="response" value=""></td>
				</tr>
			</table>
		</form>
	</body>
</html>

<?php
class Bcrypt {
  private $rounds;
  public function __construct($rounds = 12) {
    if(CRYPT_BLOWFISH != 1) {
      throw new Exception("bcrypt not supported in this installation. See http://php.net/crypt");
    }

    $this->rounds = $rounds;
  }

  public function hash($input) {
    $hash = crypt($input, $this->getSalt());

    if(strlen($hash) > 13)
      return $hash;

    return false;
  }

  public function verify($input, $existingHash) {
    $hash = crypt($input, $existingHash);

    return $hash === $existingHash;
  }

  private function getSalt() {
    $salt = sprintf('$2a$%02d$', $this->rounds);

    $bytes = $this->getRandomBytes(16);

    $salt .= $this->encodeBytes($bytes);

    return $salt;
  }

  private $randomState;
  private function getRandomBytes($count) {
    $bytes = '';

    if(function_exists('openssl_random_pseudo_bytes') &&
        (strtoupper(substr(PHP_OS, 0, 3)) !== 'WIN')) { // OpenSSL slow on Win
      $bytes = openssl_random_pseudo_bytes($count);
    }

    if($bytes === '' && is_readable('/dev/urandom') &&
       ($hRand = @fopen('/dev/urandom', 'rb')) !== FALSE) {
      $bytes = fread($hRand, $count);
      fclose($hRand);
    }

    if(strlen($bytes) < $count) {
      $bytes = '';

      if($this->randomState === null) {
        $this->randomState = microtime();
        if(function_exists('getmypid')) {
          $this->randomState .= getmypid();
        }
      }

      for($i = 0; $i < $count; $i += 16) {
        $this->randomState = md5(microtime() . $this->randomState);

        if (PHP_VERSION >= '5') {
          $bytes .= md5($this->randomState, true);
        } else {
          $bytes .= pack('H*', md5($this->randomState));
        }
      }

      $bytes = substr($bytes, 0, $count);
    }

    return $bytes;
  }

  private function encodeBytes($input) {
    // The following is code from the PHP Password Hashing Framework
    $itoa64 = './ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789';

    $output = '';
    $i = 0;
    do {
      $c1 = ord($input[$i++]);
      $output .= $itoa64[$c1 >> 2];
      $c1 = ($c1 & 0x03) << 4;
      if ($i >= 16) {
        $output .= $itoa64[$c1];
        break;
      }

      $c2 = ord($input[$i++]);
      $c1 |= $c2 >> 4;
      $output .= $itoa64[$c1];
      $c1 = ($c2 & 0x0f) << 2;

      $c2 = ord($input[$i++]);
      $c1 |= $c2 >> 6;
      $output .= $itoa64[$c1];
      $output .= $itoa64[$c2 & 0x3f];
    } while (1);

    return $output;
  }
}
?>

<?php
//Class Bcrypt includen voor gebruik
include('bcrypt.php');

//Functie voor definitie van bcrypt
function bcrypt()
{
  static $bcrypt;

  if (empty($bcrypt))
  {
    $bcrypt = new Bcrypt(15);
  }

  return $bcrypt;
}

//Functie om het wachtwoord te maken
function maak_wachtwoord($wachtwoord)
{
	//Maken van de hash voor het wachtwoord
	$hmac = hash_hmac('sha512', $wachtwoord, 'thisisaveryverysecretkeyyouknow');
	$hash = bcrypt()->hash($hmac);

  return $hash;
}

//Functie om het gemaakte wachtwoord te controleren
function controleer_wachtwoord($wachtwoord, $hash)
{
  $hmac = hash_hmac('sha512', $wachtwoord, 'thisisaveryverysecretkeyyouknow');

  return bcrypt()->verify($hmac, $hash);
}

function maak_sessie($sessie) 
{
$sessie = crypt($_POST['gbnaam'], $_SERVER['REMOTE_ADDR']); //Sessie wordt hier gemaakt.
$sessie = crypt($sessie, microtime()); //Sessie wordt hier voor de eerste keer gecodeerd.
$sessie = crypt($sessie, $_SERVER['REQUEST_TIME']); //Sessie wordt hier voor de tweede keer gecodeerd.
$sessie = $sessie.rand(0,25).rand(0,999).rand(0,9999999);
$sessie = hash("sha512", $sessie);

return $sessie;
}

function maak_challenge()
{
$iGetal = rand(0,999999);
$iDeel = rand(11,51);
$iDelen = $iGetal / $iDeel;
$fFloor = floor($iDelen);
$aLetters = range('a', 'z');
$aHletters = range('A', 'Z');
$aCijfers = range('0', '9');
$iRek = $fFloor + rand(0, 9999999).$aCijfers[rand(0, 9)].$aCijfers[rand(0, 9)].$aCijfers[rand(0, 9)].$aCijfers[rand(0, 9)];
$sEnc = $iRek.$aLetters[rand(0, 25)].$aHletters[rand(0, 25)].$aLetters[rand(0, 25)].$aCijfers[rand(0, 9)].$iRek.$aLetters[rand(0, 25)].$aCijfers[rand(0, 9)].$aCijfers[rand(0, 9)].$aHletters[rand(0, 25)].$aCijfers[rand(0, 9)].$aLetters[rand(0, 25)];
return $sEnc;
}
?>

h1 {
	text-align: center; 
}

#table {
	text-align: center;
	margin-left: auto;
	margin-right: auto;
	border-spacing: 2px;
	padding: 2px;
}

<?php
/*
Naam: geldig_ip.php
Functie: Controleren van ip op geldigheid
Beschrijving:	Hier wordt het ip dat wordt meegegeven bij de aanroep van deze functie
				gecontroleerd op geldigheid.
*/
function get_valid_ip($ip) 
{
    return preg_match("/^([1-9]|[1-9][0-9]|1[0-9][0-9]|2[0-4][0-9]|25[0-5])" .
            "(\.([0-9]|[1-9][0-9]|1[0-9][0-9]|2[0-4][0-9]|25[0-5])){3}$/", $ip );
}
?>

<?php
//Lijst met meldingen
$sMelding = array();
$sMelding[1] = 'Vul een gebruikersnaam in!';
$sMelding[2] = 'Vul een wachtwoord in!';
$sMelding[3] = 'Verkeerde inloggegevens';
$sMelding[4] = 'Er kon geen verbinding met de database worden gemaakt!';
$sMelding[5] = 'Sorry, maar je hebt vandaag al 10 foutieve login pogingen gehad, je bent nu geblokkeerd!';
$sMelding[6] = 'U bent succesvol ingelogd!';
$sMelding[7] = 'U bent geen geldig persoon!';
$sMelding[8] = 'U bezoekt een ongeldige site';
$sMelding[9] = 'De gebruikersnaam bevat te veel karakters!';
$sMelding[10] = 'Het wachtwoord bevat te veel karakters!';
$sMelding[11] = 'Er ging iets mis met het inloggen, probeer het later nog een keer.';
$sMelding[12] = 'U kunt niet inloggen, door een fout is er een veiligheids probleem ontstaan, licht onmiddelijk de webmaster in!';

//Lijst met meldingen bij niet ingelogde gebruikers
$sIngelogd = array();
$sIngelogd[1] = 'Je bent niet ingelogd!';


//Lijst met meldingen van errors
$sError = array();
$sError[1] = 'Er ging iets mis, probeer het later nog een keer!';
?>

<?php
/*
Auteur: Cas Buijs
Naam: configuratie.php
Functie: verbinding met database maken
Beschrijving:	Hier vul je de gegevens van je database in, dit script zorgt ervoor dat er een verbinding
				met de database ontstaat, die al jou pagina's waar dit bestand is geincluded, kunnen gebruiken.
*/
$host = "";
$naam = "";
$wachtwoord = "";
$database = "";

mysql_connect($host, $naam, $wachtwoord) or die("Er kon geen verbinding worden gemaakt met de database!");
mysql_select_db($database) or die("Er kon geen verbinding worden gemaakt met de database!!");

?>

<?php
//Sessie controle starten
session_start();

//Configuratiepad includen
include('configuratie.php');
include('procedures/geldig_ip.php');
include('talen/nl.php');

//Controleren of er een sessie is gemaakt voor de gebruiker
if (!isset($_SESSION['login']) OR $_SESSION['login'] == '')
{
	echo $sIngelogd[1];
	exit;
}

//Controleren of de gebruiker een geldig ip-adress gebruikt.
if (!get_valid_ip($_SERVER['REMOTE_ADDR'])) 
{
	echo $sError[1];
	exit;
}

//Controleren of er een user-agent bestaat
if (!isset($_SERVER['HTTP_USER_AGENT']))
{
	echo $sIngelogd[1];
	exit;
}

//Gegevens ophalen uit de database
$qSessie = "SELECT naam,sessie,useragent FROM login WHERE sessie='".mysql_real_escape_string($_SESSION['login'])."' AND ip='".mysql_real_escape_string($_SERVER['REMOTE_ADDR'])."' LIMIT 0,1";
$qSessies = mysql_query($qSessie);

//Controleren of de naam goed is opgehaald uit de database
if($qSessies === false)
{
	echo $sError[1];
	exit;
}

//Opgehaalde gegevens als integer inzetten
$iControle = mysql_num_rows($qSessies);

//Controleren of de gebruiker is ingelogd
if ($iControle != 1)
{
	echo $sIngelogd[1];
	exit;
}

//Controleren of de user-agent klopt
if ($sGegevens['useragent'] != $_SERVER['HTTP_USER_AGENT'])
{
	echo $sIngelogd[1];
	exit;
}


?>

<?php
/*
Auteur: Cas Buijs
Naam: index2.php
Functie: Admin Index
Beschrijving: 	De frame indeling van de site.

*/

//Veiligheids controle
include('controle.php');

/*
De rest van de pagina kun je gebruiken om je eigen informatie neer te zetten.
De include controleert of de persoon is ingelogt of niet.
*/

?>

<?php
/*
Auteur: Cas Buijs
Naam: uitloggen.php
Beschrijving: Wanneer de gebruiker op de uitlog knopt klikt wordt zijn sessie geupdate
			  Naar een onmogelijke sessie zodat de gebruiker wordt uitgelogd.
	
*/

//Veiligheidscontrole uitvoeren
include('controle.php');
include('talen/nl.php');

//Controleren of de gebruiker wil uitloggen
if(isset($_POST['uitloggen']))
{

	//Sessie update in de database
	$qLog = "UPDATE login SET sessie='', ip='', useragent='' WHERE sessie='".mysql_real_escape_string($_SESSION['login'])."' AND ip='".mysql_real_escape_string($_SERVER['REMOTE_ADDR'])."'";
	$qLogs = mysql_query($qLog);

	//Controleren of de naam goed is opgehaald uit de database
	if($qLogs === false)
	{
		echo $sError[1];
	}
	else
	{

		//Sessie legen
		if (isset($_SESSION['login']))
		{
			unset($_SESSION['login']);
		}
		session_destroy();
		
		//Redirect naar de inlog pagina
		header('Refresh: 0; url=../index.php');
	}
}?>
<html>
	<center>
		<form method="post">
			<input type="submit" name="uitloggen" value="Uitloggen">
		</form>
	</center>
</html>

CREATE TABLE IF NOT EXISTS `login` (
  `id` int(10) NOT NULL AUTO_INCREMENT,
  `naam` varchar(255) NOT NULL,
  `wachtwoord` varchar(255) NOT NULL,
  `sessie` varchar(255) NOT NULL,
  `useragent` varchar(255) NOT NULL,
  `ip` varchar(255) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB  DEFAULT CHARSET=latin1 AUTO_INCREMENT=2 ;