Authentification php
rems675
Messages postés
1
Date d'inscription
jeudi 14 janvier 2010
Statut
Membre
Dernière intervention
9 janvier 2011
-
9 janv. 2011 à 21:00
TychoBrahe Messages postés 1309 Date d'inscription samedi 31 janvier 2009 Statut Membre Dernière intervention 5 juin 2013 - 14 janv. 2011 à 10:47
TychoBrahe Messages postés 1309 Date d'inscription samedi 31 janvier 2009 Statut Membre Dernière intervention 5 juin 2013 - 14 janv. 2011 à 10:47
A voir également:
- Système d'authentification php
- Exemple de page d'authentification - Conseils pratiques -PHP
- Php table - Conseils pratiques -PHP
- Php protected ✓ - Forum PHP
- Php version 4.4.6 build date server api php variables - Forum PHP
- Exit php ✓ - Forum PHP
3 réponses
amirabed
Messages postés
1
Date d'inscription
samedi 14 novembre 2009
Statut
Membre
Dernière intervention
9 janvier 2011
9 janv. 2011 à 22:33
9 janv. 2011 à 22:33
merci pour la confirmation
cs_LDDL
Messages postés
33
Date d'inscription
dimanche 27 avril 2003
Statut
Membre
Dernière intervention
7 mars 2013
14 janv. 2011 à 09:28
14 janv. 2011 à 09:28
Slt, je n'ai pas tester ton code mais ceci devrait t'aider à visionner tes variables et à comprendre d'ou vient le problème.
http://www.phpcs.com/tutoriaux/DEBOGUEUR-PHP-XDEBUG_1174.aspx
http://www.phpcs.com/tutoriaux/DEBOGUEUR-PHP-XDEBUG_1174.aspx
TychoBrahe
Messages postés
1309
Date d'inscription
samedi 31 janvier 2009
Statut
Membre
Dernière intervention
5 juin 2013
12
14 janv. 2011 à 10:47
14 janv. 2011 à 10:47
Salut,
Alors tout d'abord la solution à ton problème premier :
Deux remarques :
1. Il manque la parenthèse de fermeture du if.
2. Cette étape est inutile car, si le mot de passe fourni n'était pas bon, ta requête n'aurait pas renvoyée de résultat.
Une autre remarque un peu plus générale qui est sans doute la source de ton problème : comment est-ce que tu stocke le mot de passe ? Haché en md5 ou en clair ? Dans ton script tu fait toutes tes comparaisons avec le pass en clair et non son hash, alors forcément s'il est stocké en md5 tu ne vas pas arriver à authentifier l'utilisateur.
Maintenant une énorme erreur :
JAMAIS ! JAMAIS ! JAMAIS !
Dans le cas présent c'est une énorme faille de sécurité qui permet à quiconque de s'authentifier avec tous les paramètres qu'il souhaite (nom, droits, etc). Il permet en effet de forcer la valeur de $isConnected ainsi que de créer le tableau $data avec les valeurs que l'on souhaite à l'intérieur. Avec un identifiant/mot de passe inexistant, ni $data ni $isConnected ne sont remplacés et l'on arrive alors directement au bout de code qui va gentillement placer mes valeurs de $date dans la session. Et paf, je suis identifié avec les droits que je veux!
Alors tout d'abord la solution à ton problème premier :
// on verifie que sont mot de passe est bon
if( $password == $data['password']
{
$isConnected = true;
}
Deux remarques :
1. Il manque la parenthèse de fermeture du if.
2. Cette étape est inutile car, si le mot de passe fourni n'était pas bon, ta requête n'aurait pas renvoyée de résultat.
Une autre remarque un peu plus générale qui est sans doute la source de ton problème : comment est-ce que tu stocke le mot de passe ? Haché en md5 ou en clair ? Dans ton script tu fait toutes tes comparaisons avec le pass en clair et non son hash, alors forcément s'il est stocké en md5 tu ne vas pas arriver à authentifier l'utilisateur.
Maintenant une énorme erreur :
extract($_POST);
JAMAIS ! JAMAIS ! JAMAIS !
Dans le cas présent c'est une énorme faille de sécurité qui permet à quiconque de s'authentifier avec tous les paramètres qu'il souhaite (nom, droits, etc). Il permet en effet de forcer la valeur de $isConnected ainsi que de créer le tableau $data avec les valeurs que l'on souhaite à l'intérieur. Avec un identifiant/mot de passe inexistant, ni $data ni $isConnected ne sont remplacés et l'on arrive alors directement au bout de code qui va gentillement placer mes valeurs de $date dans la session. Et paf, je suis identifié avec les droits que je veux!
