UCP- finde den Fehler nicht

denninho

Heiho Kompanen!

Ehm bin grade am Bauen eines USer Panels und steh da grade etwas auffer Matte! ;)

PHP

<?php


include("config.php");
session_start();
error_reporting(0);


$submit = $_POST['submit'];


$username = sanitize($_POST['username']);
$password = sanitize($_POST['password']);


if($submit)
{
    if($username && $password)
    {
        $query = mysql_query("SELECT username, password FROM user WHERE username = '$username'");
        if(mysql_num_rows($query) == 1)
        {
            while($row = mysql_fetch_assoc($query))
            {
                $dbusername = $row['username'];
                $dbpassword = $row['password'];
            }
            if($username == $dbusername && $password == $dbpassword)
            {
                $_session['username'] = $dbusername;
                echo header('location: index.php');
            }
            else echo "Falsches Passwort!";
        }
        else echo "Der Benutzer existiert nicht!";
    }
    else echo "Tippe dein Namen und Passwort ein!";
}
?>


<form action='index.php' method='POST'>
<input type="text" name="Benutzer" value='<?php echo $username?>'/>
<input type="passwort" name="password"/>
<input type='submit' name="submit" value='login'/>
</form>

Alles anzeigen

Immer wenn ich dann den Namen+PW eingebe kommt: Tippe dein Namen und Passwort ein!

Bin bisl ratlos wo der Fehler liegt.

http://localhost/phpmyadmin/mai…e6376af0256652e localhost samp user

Kaev

Kenn mich da jetzt nicht so aus, da ich selber nicht wirklich viel PHP kann, aber:

Zitat

if($username && $password)

Fehlt da nicht was? z.b. == true? Oder wird das direkt von Apache erkannt (wegen dem &&)?
Falls nicht, könnte das der Grund sein, warum er auf

Zitat

}
else echo "Tippe dein Namen und Passwort ein!";

springt.

denninho

Ne ;)
Fehler ist gelöst, unten in der HTML Dekalrarion habe ich Benutzer zu username und Passwort zu password geändert.
Gruß

PapaHarni

Zitat von Kaev;291775

Kenn mich da jetzt nicht so aus, da ich selber nicht wirklich viel PHP kann, aber:
Fehlt da nicht was? z.b. == true? Oder wird das direkt von Apache erkannt (wegen dem &&)?
Falls nicht, könnte das der Grund sein, warum er auf
springt.

Zitat von denninho;291776

Ne ;)
Fehler ist gelöst, unten in der HTML Dekalrarion habe ich Benutzer zu username und Passwort zu password geändert.
Gruß

Trotzallem fragt man so keine Variablen ab wenn es keine true/false Variablen sind.
Entweder sollte man :

PHP

if(isset($username) && !empty($username) && isset($password) && !empty($password)) {

besser wäre sogar noch :

PHP

if(isset($username) && !empty(str_replace(" ","",$username)) && isset($password) && !empty(str_replace(" ","",$password))) {

So kommt es auch bei mehreren leerzeichen auf keinenfall durch.

felix

Nicht nur das man es nicht machen sollte Variablen so abzufragen, kann es je nachdem wie
man error_reporting verwendet natürlich auch vorkommen das ein nicht gesetzter Array Key
einen E_NOTICE Fehler ausgibt.

ulle

Desweiteren prüfst du bei der Datenbank Abfrage nur oder es True oder false ist ich denke du willst aber prüfen ob ein User existiert deswegen wäre es besser statt == 1 === '1' zu machen dann wird auch nur die 1 als String gewertet und kein True oder 1

PapaHarni

PHP

<?php


include("config.php");
session_start();
error_reporting(0);


$username = sanitize($_POST['username']);
$password = sanitize($_POST['password']);


if(isset($_POST['action']) && $_POST['action'] == "login") {
    if(isset($username) && !empty(str_replace(" ","",$username)) && isset($password) && !empty(str_replace(" ","",$password))) {
        $query = sprintf("SELECT `username`,`password` FROM `user` WHERE `username` = '?'", mysql_real_escape_string($username));
        $result = mysql_query($query);
        if(mysql_num_rows($query) == 1) {
            $row = mysql_fetch_row($result);
            if($password == $row[1]) { //Bitte Passwörter nicht Clean Speichern , immer Verschlüsselt in einer DB speichern
                $_SESSION['username'] = $row[0];
                echo header('location: index.php');
            } else }
                echo "Falsches Passwort!";
            }
        } else {
            echo "Der Benutzer existiert nicht!";
        }
        } else {
        echo "Tippe dein Namen und Passwort ein!";
    }
}


echo "<form action=\"index.php\" method=\"POST\">
<input type=\"text\" name=\"username\" value=\"".$username."\" />
<input type=\"password\" name=\"password\" />
<input type=\"submit\" name=\"action\" value=\"login\"/>
</form>";
//Feldname "submit" sollte man vermeiden , vorallem wenn man mit JavaScript das Script erweitern möchte. z.B. zur vorherigen Prüfung oder ähnliches.


?>

Alles anzeigen

denninho

Fehler ist gelöst

man lasst den Thred ruhen...

PapaHarni

Es gibt mehr als nur dich hier im Forum die vllt mal die ein oder andere Hilfe bei ähnlichem problem haben , so haben diese direkt mehrere lösungen zur auswahl. Also bleib mal locker auf dem Hocker , dann nimm dein Abo raus und fertig.

EDIT : Vorallem sind wir nur dabei deine Sicherheitslücken , die du nun einmal drin hast in diesem bisschl Code , etwas zu schliessen.

UCP- finde den Fehler nicht

Jetzt mitmachen!

SCHNELLZUGRIFF

HILFE & COMMUNITY

RECHTLICHES