Har problemer med at aktiver en profil

"problemet er så bare at de ikke altid er ens passwordenes når det er MD5 "

- Hvad mener du med det?

En md5 hash af 'et eller andet' vil altid give det samme resultat.

linket som der bliver tilsendt ser passwordet sådan ud: 243e61e9410a9f577d2d662c67025ee9 men i db'en ser det sådan ud: 541c57960bb997942655d14e3b9607f9

Hvorfor er der forskel?

Ja, så må du have lavet en fejl, for mercur8 har jo ret i at md5 ikke sådan ændrer sig.

Jeg forstår slet ikke, der kan være foreskel. For når du skal sende den mail ud, der indeholder det aktiverings-link, så henter du vil password fra databasen?! Og der er det jo md5'et allerede.

Tager du md5 2 gange?

Det må være en fejl jeg har lavet.

Når man opretter sig ser det sådan ud:

<?php
require_once('topbar.php');
include('config.php');

echo '<div align="center"><center><table border="0" width="744" cellspacing="0" cellpadding="3" style="border: 1px solid #000000"><tr><td width="100%" bgcolor="#B9E1FD">';

$nick = $_POST['nick'];
$password = $_POST['password'];
$password2 = $_POST['password2'];
$mail = $_POST['mail'];

if (empty($nick) OR empty($password) OR empty($password2) OR empty($mail)) {
    echo '<font face="verdana" style="font-size: 11px;">Du skal udfylde alle felterne.<br><a href="java script:history.go(-1)">Tilbage</a>';
} elseif (strlen($password) > 15) {
    echo '<font face="verdana" style="font-size: 11px;">Password må max være på 15 tegn<br><a href="java script:history.go(-1)">Tilbage</a>';
} elseif ($password != $password2) {
    echo '<font face="verdana" style="font-size: 11px;">De to passwords skal være ens.<br><a href="java script:history.go(-1)">Tilbage</a>';
} elseif (strlen($nick) > 15) {
    echo '<font face="verdana" style="font-size: 11px;">Brugernavn må max være på 15 tegn<br><a href="java script:history.go(-1)">Tilbage</a>';
} else {
    $result_nick = mysql_query("SELECT nick FROM brugere WHERE nick = '$nick'")  or die (mysql_error());
    $number_nick = mysql_num_rows($result_nick);
    $result_mail = mysql_query("SELECT mail FROM brugere WHERE mail = '$mail'")  or die (mysql_error());
    $number_mail = mysql_num_rows($result_mail);
    if ($number_nick > 0)
    {
        echo '<font face="verdana" style="font-size: 11px;">Desværre brugernavnet <b>'.$nick.'</b> er optaget.<br><a href="java script:history.go(-1)">Tilbage</a></font>';
    }
    elseif ($number_mail > 0)
    {
        echo '<font face="verdana" style="font-size: 11px;">Der er allerede oprettet en bruger med e-mail adressen '.$mail.'!<br><a href="java script:history.go(-1)">Tilbage</a></font>';
    }
    else
    {
        $dato = date('d/m-Y - H:i:s');
        $ip = $_SERVER['REMOTE_ADDR'];
        mysql_query("INSERT INTO brugere (nick,password,mail,dato,ip,sidste_aktivitet) VALUES ('$nick',md5('$password'),'$mail','$dato','$ip','NULL')") or die (mysql_error());
        echo '<font face="verdana" style="font-size: 11px;">Brugernavnet <b>'.$nick.'</b> er oprettet!<br>klik <a href="login.php">her</a> for at logge ind</font>';
            $msg = 'aktiver_bruger.php?nick='.$nick.'&pass='.md5('$password').'';
            $recipient = $mail;
            $subject = 'Aktivering af profil';
            mail($recipient, $subject, $msg);
  }
}

echo '</td></tr></table></center></div>';
?>

Men passwordet i linket som bliver sendet til en bliver ikke det samme som i db'en

Hvad kan der være galt?

Sådan ser feltet ud i db'en:

password varchar(32) NOT NULL default '',

$dato = date('d/m-Y - H:i:s');
$ip = $_SERVER['REMOTE_ADDR'];
$pw = md5($password);
mysql_query("INSERT INTO brugere (nick,password,mail,dato,ip,sidste_aktivitet) VALUES ('$nick','$pw','$mail','$dato','$ip','NULL')") or die (mysql_error());
echo '<font face="verdana" style="font-size: 11px;">Brugernavnet <b>'.$nick.'</b> er oprettet!<br>klik <a href="login.php">her</a> for at logge ind</font>';
$msg = 'aktiver_bruger.php?nick='.$nick.'&pass='.$pw;
$recipient = $mail;
$subject = 'Aktivering af profil';
mail($recipient, $subject, $msg);

Hvorfor er det lige man skal gøre sådan før de bliver ens?

$pw = md5($password);

Denne måde som den her er det ikke også en god måde til glemt password så man skal kligge på et link før der bliver skiftet password?

For der er desvære man idioter som syntes det er sjovt at sende nye passwords til nogle af brugerne :(

For det første er der ingen grund til at tage md5 2 gange. Den første gang med MySQL's md5() funktion den anden gang med PHP's md5 funktion.

Sikkerheden er jo ikke så meget større ved at sende brugerens password som md5 end som plain-text i dit setup.

Hvis man alligevel kan logge ind med md5 passwordet. Den eneste fordel er så, at brugerens "rigtige" password er skjult, skulle han anvende dette på andre sites. Men man kan jo stadig logge ind med md5 passwordet, eftersom dette i dit system, er det "rigtige" password.

Takker skriv lige som et svar....

Ok.

btw. for at lave det rigtigt sikkert kunne man så ikke lave glemt password sådan?

update_bruger.php?nick=mpj86&oldpass=541c57960bb997942655d14e3b9607f9&newpass=243e61e9410a9f577d2d662c67025ee9

Hvor at så nick og oldpass skulle være i db'en før den laver passwordet om til det der er i newpass?