Login sikkert nok!

Det skulle vidst være solidt nok til man IKKE kan hacke det! Du kan jo gøre på mange måder - endnu et eksempel:


<?php
/* Check User Script */
session_start();  // Start Session

include("includes/mysql.php");

// Conver to simple variables
$username = $_POST["username"];
$password = $_POST["password"];

if( isset( $username ) ) || isset( $password ) )
{
    print "Please enter ALL of the information! <br />";
    include("login_form.php");
    exit(); 
}

// Convert password to md5 hash
$password = md5($password);

// check if the user info validates the db
$sql = mysql_query("SELECT `id`, `first_name`, `last_name`, `email_adress`, `special_user`, `user_level` FROM `users` WHERE `username` = '$username' AND `password` = '$password' AND `activated` = 1");
$login_check = mysql_num_rows($sql);

if($login_check > 0)
{
    while( $row = mysql_fetch_array( $sql ) )
{
    foreach( $row AS $key => $val ){
        $key = stripslashes( $val );
    }
        // Register some session variables!
        session_register('first_name');
        $_SESSION['first_name'] = $first_name;
        session_register('last_name');
        $_SESSION['last_name'] = $last_name;
        session_register('email_address');
        $_SESSION['email_address'] = $email_address;
        session_register('special_user');
        $_SESSION['user_level'] = $user_level;
       
        mysql_query("UPDATE `users` SET `last_login` = now() WHERE `userid` = '$userid'");
       
        header("Location: loginsucces/index.php");
    }

}
else
{
    print "Du kunne ikke logges ind! prøv igen!<br />";
    include("login_form.php");
}
?>


--
yezbarh

Jae det kan godt være det er sikkert, men jeg kan sku ikke logge ind! tror ikke den kommer vidre ind derfra hvor den tjekker om der skrevet noget i felternE!

Har løst problemmet!

username sætter du ind i sqlen uden validering. hvis ikke magic quotes er slået til på serveren, så er du åben for angreb her

kør username gennem mysql_real_escape_string før indsættelse

de der session_register kald behøver du ikke

Session_register kaldene tager jeg med! men den mysql_real_escape_string, hvor siger det ska stå henne!:?

morhan kan du ikk lige ligge et svar