Autor Tema: [DUDA] Codigo de Registro (Leído 1051 veces)

NDSi · « **en:** 29 de Noviembre de 2009, 22:15:54 pm »

Hola a todos, empeze a hacer mis codigos de 0 sin copiar absolutamente nada. En el registro tengo este codigo.

<?php
include(&#39;connect.php&#39;);
$select=mysql_query("SELECT * FROM users WHERE name=&#39;$_POST[user]&#39;", $conexion);
$user=mysql_fetch_array($select);

if ($_GET[&#39;id&#39;]!="register") { ?>
AQUI VA UN FORMULARIO
<?php 
} else {
	if ($_POST[&#39;pass&#39;]!=$_POST[&#39;pass2&#39;]) {
	echo "contraseñas invalidas";
	} else {
		if(mysql_num_rows($comprovacion)>=1){
		echo "ya existe";
		} else {
		$register= "INSERT INTO users (name,pass,money) VALUES (&#39;".$_POST[&#39;user&#39;]."&#39;,&#39;".md5($_POST[&#39;pass&#39;])."&#39;,&#39;0&#39;)";
			if (mysql_query($register)){
			echo "ya te registraste";
			} else {
			echo "ocurrio un error, vuelve a intentarlo";
			}
		}		
	}
}
?>

Queria preguntar si este codigo es seguro o es vulnerable, gracias.

K-chick · « **Respuesta #1 en:** 29 de Noviembre de 2009, 22:56:26 pm »

No entiendo mucho, pero hace unos días mire en php.net, y las variable $_GET, $_POST, son muy vunerables e inseguras...
En codigos no te puedo ayudar mucho, si pudiera te ayudaria, a modificar las variables, pero no se mucho sobre php...

TheGeorge · « **Respuesta #2 en:** 30 de Noviembre de 2009, 01:06:29 am »

Efectivamente, en cada consulta que uses $_POST y $_GET te recomiendo que pases esas variables por la funcion mysql_escape_string() o mysql_real_escape_string() para evitar hackeos y tambien usar las funciones stripslahes y addslahes en las variables $_GET

Saludos

NDSi · « **Respuesta #3 en:** 30 de Noviembre de 2009, 04:23:05 am »

Cita de: TheGeorge en 30 de Noviembre de 2009, 01:06:29 am

Efectivamente, en cada consulta que uses $_POST y $_GET te recomiendo que pases esas variables por la funcion mysql_escape_string() o mysql_real_escape_string() para evitar hackeos y tambien usar las funciones stripslahes y addslahes en las variables $_GET

Saludos

Muchas gracias, eso seria...
$postuser=mysql_escape_string($_POST['user'])
¿Y reemplazo los POST y GET por la variable que 'limpia' el POST y el GET?

x.mara.x · « **Respuesta #4 en:** 30 de Noviembre de 2009, 11:50:24 am »

si, pero es lo mismo que volver a poner mysql_escape_string($_POST['user'])

NDSi · « **Respuesta #5 en:** 03 de Diciembre de 2009, 06:43:10 am »

Muchas gracias Mara y George.

Código: [Seleccionar]

<?php
if ($_GET[&#39;id&#39;]!="register") { ?>
AQUI UN FORMULARIO
<?php } else {
include(&#39;connect.php&#39;);
$select=mysql_query("SELECT COUNT(*) AS cantidad FROM users WHERE name=&#39;$usua&#39;", $conexion) or die(&#39;Error de conexion.&#39;);
$date=mysql_fetch_array($select) or die(&#39;Error de Conexion.&#39;);

$usua=mysql_escape_string($_POST[user]);
$contra=mysql_escape_string($_POST[pass]);
$verifuser=(!$usua ? die(&#39;Ingresa tu Usuario.&#39;) : "");
$verifpass=(!$contra || !$_POST[&#39;pass2&#39;] ? die(&#39;Ingresa tu Clave.&#39;) : "");
$verifcanuser=($date[&#39;cantidad&#39;]==0 ? "" : die(&#39;Ese nombre de usuario ya existe.&#39;));
$verpass=($contra==$_POST[&#39;pass2&#39;] ? "" : die(&#39;Las claves no coinciden&#39;));
$registrar=mysql_query("INSERT INTO users(name,pass,money) VALUES(&#39;$usua&#39;,&#39;$contra&#39;,0)", $conexion) or die(&#39;Error de Conexion<br>&#39;.mysql_error());

echo $verifuser;
echo $verifpass;
echo $verpass;
echo $verifcanuser;
if($registrar){ echo "Te registraste correctamente."; } else { echo "Error Inesperado."; }
}
?>

Modifique casi todo, es mas lo borre y lo empeze de nuevo porque estaba algo desorganizado el otro. ¿Asi es mas seguro? ¿Hay algun error de sintaxis (Aunque lo probe y funciona perfectamente)?

OFF: Lo hice basado en lo que aprendi ultimamente ^^.

Focux · « **Respuesta #6 en:** 03 de Diciembre de 2009, 19:31:49 pm »

Cita de: NDSi en 03 de Diciembre de 2009, 06:43:10 am

Muchas gracias Mara y George.

Código: [Seleccionar]
<?php if ($_GET['id']!="register") { ?> AQUI UN FORMULARIO <?php } else { include('connect.php'); $select=mysql_query("SELECT COUNT(*) AS cantidad FROM users WHERE name='$usua'", $conexion) or die('Error de conexion.'); $date=mysql_fetch_array($select) or die('Error de Conexion.'); $usua=mysql_escape_string($_POST[user]); $contra=mysql_escape_string($_POST[pass]); $verifuser=(!$usua ? die('Ingresa tu Usuario.') : ""); $verifpass=(!$contra || !$_POST['pass2'] ? die('Ingresa tu Clave.') : ""); $verifcanuser=($date['cantidad']==0 ? "" : die('Ese nombre de usuario ya existe.')); $verpass=($contra==$_POST['pass2'] ? "" : die('Las claves no coinciden')); $registrar=mysql_query("INSERT INTO users(name,pass,money) VALUES('$usua','$contra',0)", $conexion) or die('Error de Conexion<br>'.mysql_error()); echo $verifuser; echo $verifpass; echo $verpass; echo $verifcanuser; if($registrar){ echo "Te registraste correctamente."; } else { echo "Error Inesperado."; } } ?>
Modifique casi todo, es mas lo borre y lo empeze de nuevo porque estaba algo desorganizado el otro. ¿Asi es mas seguro? ¿Hay algun error de sintaxis (Aunque lo probe y funciona perfectamente)?

OFF: Lo hice basado en lo que aprendi ultimamente ^^.

Solo revise el codigo la primera parte y por lo que veo esta bien, otra cosa te sugiero que hagas una funcion para que pongas todo el codigo antihack y no lo estes repitiendo.

westwest · « **Respuesta #7 en:** 03 de Diciembre de 2009, 19:41:38 pm »

$verifuser=(!$usua ? die('Ingresa tu Usuario.') : "");
$verifpass=(!$contra || !$_POST['pass2'] ? die('Ingresa tu Clave.') : "");
$verifcanuser=($date['cantidad']==0 ? "" : die('Ese nombre de usuario ya existe.'));
$verpass=($contra==$_POST['pass2'] ? "" : die('Las claves no coinciden'));
echo $verifuser;
echo $verifpass;
echo $verpass;
echo $verifcanuser;

Esto es una tonteria, hay es más recomendable usar un if normal...

Focux · « **Respuesta #8 en:** 03 de Diciembre de 2009, 19:52:29 pm »

Cita de: westwest en 03 de Diciembre de 2009, 19:41:38 pm

$verifuser=(!$usua ? die('Ingresa tu Usuario.') : "");
$verifpass=(!$contra || !$_POST['pass2'] ? die('Ingresa tu Clave.') : "");
$verifcanuser=($date['cantidad']==0 ? "" : die('Ese nombre de usuario ya existe.'));
$verpass=($contra==$_POST['pass2'] ? "" : die('Las claves no coinciden'));
echo $verifuser;
echo $verifpass;
echo $verpass;
echo $verifcanuser;

Esto es una tonteria, hay es más recomendable usar un if normal...

Pienso lo mismo, se podria ahorrar varias lineas.

NDSi · « **Respuesta #9 en:** 03 de Diciembre de 2009, 20:27:53 pm »

Cita de: westwest en 03 de Diciembre de 2009, 19:41:38 pm

$verifuser=(!$usua ? die('Ingresa tu Usuario.') : "");
$verifpass=(!$contra || !$_POST['pass2'] ? die('Ingresa tu Clave.') : "");
$verifcanuser=($date['cantidad']==0 ? "" : die('Ese nombre de usuario ya existe.'));
$verpass=($contra==$_POST['pass2'] ? "" : die('Las claves no coinciden'));
echo $verifuser;
echo $verifpass;
echo $verpass;
echo $verifcanuser;

Esto es una tonteria, hay es más recomendable usar un if normal...

Si lo se, pero quise aplicar lo ultimo que aprendi.

TheGeorge · « **Respuesta #10 en:** 03 de Diciembre de 2009, 22:11:30 pm »

Cita de: Focux

Solo revise el codigo la primera parte y por lo que veo esta bien, otra cosa te sugiero que hagas una funcion para que pongas todo el codigo antihack y no lo estes repitiendo.

Si se crea una funcion para poner el codigo antihack, dentro de esa funcion usarías la misma funcion y creo que sería lo mismo o peor, porque se estarían usando 2. no?

Saludos.

NDSi · « **Respuesta #11 en:** 04 de Diciembre de 2009, 07:55:06 am »

Cita de: TheGeorge en 30 de Noviembre de 2009, 01:06:29 am

Efectivamente, en cada consulta que uses $_POST y $_GET te recomiendo que pases esas variables por la funcion mysql_escape_string() o mysql_real_escape_string() para evitar hackeos y tambien usar las funciones stripslahes y addslahes en las variables $_GET

Saludos

No hay otra forma de 'limpiar' los POST, porque dice que a mysql_real_escape_string se le escapa \ entonces si ponen \' or \'a\'=\'a. Y dicen que mysql_escape_string es obsoleta y que en PHP6 la quitaran. Addslashes se le escapa ", ', entre otros, o sea, no es seguro.

¿Alguna otra?

westwest · « **Respuesta #12 en:** 04 de Diciembre de 2009, 15:24:54 pm »

mysql_real_escape_string creo que esta preparada contra eso, si no menuda seguridad la de php...

x.mara.x · « **Respuesta #13 en:** 19 de Diciembre de 2009, 22:06:37 pm »

Cita de: NDSi en 04 de Diciembre de 2009, 07:55:06 am

No hay otra forma de 'limpiar' los POST, porque dice que a mysql_real_escape_string se le escapa \ entonces si ponen \' or \'a\'=\'a. Y dicen que mysql_escape_string es obsoleta y que en PHP6 la quitaran. Addslashes se le escapa ", ', entre otros, o sea, no es seguro.

¿Alguna otra?

yo siempre uso htmlspecialchars()

Focux · « **Respuesta #14 en:** 20 de Diciembre de 2009, 01:14:50 am »

Cita de: TheGeorge en 03 de Diciembre de 2009, 22:11:30 pm

Si se crea una funcion para poner el codigo antihack, dentro de esa funcion usarías la misma funcion y creo que sería lo mismo o peor, porque se estarían usando 2. no?

Saludos.

No, porque aparte de mysql_real_escape_string se puede usar trim, stripslashes y muchas mas.

Noticias:

Autor Tema: [DUDA] Codigo de Registro (Leído 1051 veces)

NDSi

[DUDA] Codigo de Registro

Comunidad PHPeros

[DUDA] Codigo de Registro

K-chick

Re:[DUDA] Codigo de Registro

TheGeorge

Re:[DUDA] Codigo de Registro

NDSi

Re:[DUDA] Codigo de Registro

x.mara.x

Re:[DUDA] Codigo de Registro

NDSi

Re:[DUDA] Codigo de Registro

Focux

Re:[DUDA] Codigo de Registro

westwest

Re:[DUDA] Codigo de Registro

Focux

Re:[DUDA] Codigo de Registro

NDSi

Re:[DUDA] Codigo de Registro

TheGeorge

Re:[DUDA] Codigo de Registro

NDSi

Re:[DUDA] Codigo de Registro

westwest

Re:[DUDA] Codigo de Registro

x.mara.x

Re:[DUDA] Codigo de Registro

Focux

Re:[DUDA] Codigo de Registro