PHP - Register form

2. MD5 enkripcija

ad 1) Kako pa "delaš", da ni občutljivo?

ad 1) Kako pa "delaš", da ni občutljivo?

a.Plaintext & case insensitive database?
b.strtolower (strtoupper) pred zgostitvijo

No, gesel se vsekakor ne sme hraniti v plaintextu, četudi gre v primeru konkretne aplikacije za nekaj, kar ni toliko pomembno. Težava je namreč v tem, da večina uporabnikov uporablja za kup spletnih strani/servisov/trgovin/... isto geslo. In če se geslo razkrije na 1 mestu, se da dostopat praktično do vsega.

gesla lahko tudi malo 'osolis' - geslu dodas nek poljuben string. se postopek

za generiranje gesla:
1. naredis md5 nekega nakljucnega zaporedja znakov (cas, uniqid, rand ...) = dobis 32 znakov
2. vzames 5 (ali vec, manj) znakov za 'sol'
3. naredis md5 'soli' + geslo, torej $x = md5( $sol . $pass )
4. kreiras password hash iz tocke 2 + tocke 3.

v tocki 4 torej dobis 37 znakov dolg hash. ce hjoces osoljevanje malce zakriti vzames iz stringa v tocki 3. 5 znakov in nato sestavis. tako dobis 32 znakov dolg hash. kjer je prvih 5 znakov sol. na pogled pa se hash ne razlikuje od noosoljenega.

preverjanje:
1. mas username in password
2. preberes password hash od username-a
3. izluscis sol (prvih 5 znakov)
4. naredis md5 soli + podanega gesla
5. sestavis string 3 in 4 in primerjas ce je enak tistemu v bazi

ce si password hash skrajsal na 32 znakov, moras isto narediti pri preverjanju.

s tem pridobis to da imajo enaki passwordi razlicne md5 hashe. mislim, da je tudi razbijanje takih gesel precej bolj komplicirano kot samo md5.

koda:

// genererimo 5 mest dolg salt za password
// rabimo samo pri kreiranju gesla
$salt = substr(md5(uniqid(rand(), true)), 0, 5);

// generiramo hash za password iz salta in plain text gesla
function hashPass($salt, $password){
    return $salt . md5($salt . $password);
}

// primerjamo hash vpisanega gesla in shranjen hash
// vrne true ce je enako, false ce je razlicno
function comparePass( $password, $hash ){
    // izluscimo salt
    $salt = substr($hash, 0, 5);
    return $hash == hashPass($salt, $password);
}

tole zgenerira 37 mest dolg hash, za 32 mest pa bi bila funkcija nekako takole:

function hashPass($salt, $password){
    return $salt . substr( md5($salt . $password), 5 );
}

Ne vem no če je ravno razlika še med njima... :)

Link

ena moznost je da shranis v session pravilne podatke

torej ce je podatek OK
$_SESSION['postada'][podatek1] = $podatek1;
$_SESSION['postada'][podatek2] = $podatek2;

na strani s formo preveris ce obstaja $_SESSION['postdata'] in ven preberes podatke (ti so vredu in jih vpises), za ostale izpises napake.

lahko pa si shranis tudi celoten $_POST[] -> $_SESSION['postdata'] = $_POST;

To deluje čeprav sem se namučil, da mi je uspelo PHP kodo prikazat sredi forme. Glede na to, da za prikaz le te uporabljam echo je bilo potrebno kar nekaj združevanja... Na koncu mi je uspelo nekako takole:

value='".$_SESSION['uporabnisko']."'

EDIT: Zdajle sem testiral tole in deluje tako kot mora. Po zapisovanju podatkov o regisraciji pa sem še dodal session_destroy(), ki potem lepo pobriše podatke.

Če boš imel tudi kak login notri, res raje izbriši $_SESSION spremenljivke z "unset()" in ne s "session_destroy()".

Mogoče zaradi register_globals=on?

Sicer bi za tole najbrž lahko ustvaril novo temo ampak bom vprašal kar tukaj.

Sedaj, ko registracija in login delujeta odlično sem se lotil skripte za prikazovanje novic. Tukaj pa je koda delno moja delno pa iz enega tutoriala. Problem je, da mi ne prikaže strani z samo eno novico in komentarji (kot bi moralo) ampak mi vrže, da stran ne obstaja. Po kliku na število komentarjev mi v URL vrstico izpiše index.php?novica=prikazi&id=1 ampak dobim tisti lep error, da stran index.php ni najdena. Seveda pa prikaz navadnih novic deluje kot mora. Tole je celotna koda (razen stvari, ki se tučejo baze):

			<?php
			function prikaznovic()
			{
				$poizvedi = "SELECT date_format(datum,'%d:%m:%Y ob %H:%i') AS datum_k,naslov,avtor,novica, id FROM novice ORDER BY datum";
				$prikaz= mysql_query($poizvedi) or die(mysql_error());
				
				while ($novica_show = mysql_fetch_array($prikaz))
				{
				$komentarji = $novica_show['id'];
				$isci_komentarje = "SELECT count(*) FROM novice_komentarji WHERE id_novice= '$komentarji'";
				$komentarji_poizvedba = mysql_query($isci_komentarje);
				$komentarji_rezultat = mysql_fetch_row($komentarji_poizvedba);
				
				
				echo "<div class='news_naslov'>".$novica_show['naslov']."</div>";
				
				echo "<div class='news_podatki'>::Objavljeno: ".$novica_show['datum_k']."&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ::Objavil: ".$novica_show['avtor']."&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;::Komentarjev: <a href='.{$_SERVER['PHP_SELF']}?novica=prikazi&id={$novica_show['id']}'>".$komentarji_rezultat[0]."</a></div>";
			
			
				echo "<div class='news'>".$novica_show['novica']."</div>";
				}
			}
			
			
			
			function prikazinovico($id)
			{
			$poizvedba = "SELECT date_format(datum,'%d:%m:%Y ob %H:%i') AS datum_k,naslov,avtor,novica, id FROM novice WHERE id = $id";
			$prikaz_ena = mysql_query($poizvedba);
			
			if (mysql_num_rows ($prikaz_ena) == 0)
				echo "<div class='err_msg'>Novica, ki jo želite prikazati ne obstaja!</div>";
			return;
				
			$prikaz2 = mysql_fetch_array($prikaz_ena);
			echo "<div class='news_podatki'>::Objavljeno: ".$prikaz2['datum_k']."&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ::Objavil: ".$prikaz2['avtor']."&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;::Komentarjev: </div>";
			
			}
			
			
			switch($_GET['novica']) 
			{
   			 case 'prikazi':
   			    prikazinovico($_GET['id']);
        		break;
    		default:
        		prikaznovic();
			}

			
		?>