我的登录系统是安全的？

我有此：我的登录系统是安全的？

<?php 

// Establishing Connection with Server by passing server_name, user_id and password as a parameter 
$connection = mysql_connect("localhost", "root", ""); 
// Selecting Database 
$db = mysql_select_db("cavallo", $connection); 
session_start(); // Starting Session 
// Storing Session 
$user_check = $_SESSION['login_user']; 
// SQL Query To Fetch Complete Information Of User 
$ses_sql = mysql_query("select username from login where username='$user_check'", $connection); 
$row = mysql_fetch_assoc($ses_sql); 
$login_session = $row['username']; 
if (!isset($login_session)) { 
    mysql_close($connection); // Closing Connection 
    header('Location: index.php'); // Redirecting To Home Page 
} 
?>

这是我做的一个会话的协议，我担心这是不是安全。

你认为有办法破解这种方法吗？

的login.php文件：https://gist.github.com/anonymous/d7db3ea76fc4258d6512

更新：我重新创建了所有与在线指南脚本的安全login.thanks帮助我，并报告了这个问题

来源

2016-02-05 Eugenio Segala

'$ _SESSION ['login_user']'如何填充？您的代码看起来可能容易受到注入攻击。 – Scuzzy

我已更新login.php文件 –

与它一起生活，然后回来告诉我们是否是。编辑：简答题; *没有*。 –

存储密码字符串形式并不安全。

Read this。我认为它可以帮助你。

并阅读更多关于SQL注入，密码散列，使用salt和密码，会话劫持。

来源

2016-02-05 04:10:20

不，它非常不安全。

按照这些步骤，以确保您的登录系统：哈希格式

储存密码，以便您的员工无法看到您的用户密码。
- 如何散列密码：
  
  一个。获取用户密码并立即对其进行哈希。
```
$password = $_POST['password']; 
$password = hash('sha256',$password); 
```
  b。将此散列密码存储在您的数据库中。

现在如何检查用户凭证。

$username = $_POST['username']; 
$password = $_POST['password']; 

settype($username,"string"); 
$password = hash('sha256',$password); 

$stmt = $dbConnection->prepare('SELECT * FROM login WHERE username = ? and password = ?'); 
$stmt->bind_param('s', $username,$password); 

$stmt->execute(); 

$result = $stmt->get_result(); 
while ($row = $result->fetch_assoc()) { 
    // do something with $row 
}

来源

2016-02-05 04:40:29

使用预处理语句和参数化查询是不可能的攻击者注入恶意SQL。 您可以尝试通过PDO和Mysqli查询。 PDO

PDO的

的例子是，你传递给准备SQL语句解析和数据库服务器编译。

//setting up connection 
$dbconn = new PDO('mysql:dbname=dbname;host=127.0.0.1;charset=utf8', 'root', ''); 
//prepare query 
$user_check=$_SESSION['login_user']; 
$prepareQuery = $db->prepare('INSERT INTO table (column) VALUES (:column)'); 

$perpareQuery->execute(array('column' => $user_check)); 

foreach($perpareQuery as $row) { 

}

来源

2016-02-05 05:10:49

我看到一个基本错误：你只是检查用户名是否存在 - 你甚至没有看输入密码。因此，如果我输入任何现有用户的用户名，您的登录页面将授予我访问权限。至少解决这个问题;然后去看别人提到的其他问题（SQL注入，无密码散列）。

来源

2016-02-05 05:37:06

我的登录系统是安全的？

回答

相关问题