Login und Passkeys auf Prepared Statements umgebaut
- sites/start.php: ein Query statt zwei, Passwortvergleich per hash_equals in PHP statt im SQL, Updates per id. Die Eingaben gehen nicht mehr durch htmlspecialchars(): Passwoerter werden beim Anlegen roh gehasht, mit & < > " ' konnte man sich deshalb bisher nie anmelden. - getUserSetting/updateUserSetting mit Platzhaltern; behoben: INSERT-Zweig rief mysqli_real_escape_string ohne Verbindung auf (Fatal Error), $mysqli_error als Variable, ungewolltes echo "update". Aufrufer escapen nicht mehr vor (sonst doppelt), settings.php: Tippfehler mysqi_real_escape_string beim Speichern von show_sks behoben, style nur als Dateiname ohne Pfad. - authServer.php, addKey.php, userkeys.php, checkAdduser(): Platzhalter. Passkey-INSERT setzt lastAuth/authKey (Pflichtfelder im strikten Modus). addKey nur als reine Ziffern, sonst passte "12345678xyz" per Typumwandlung. - checkLogin() entfernt: nirgends aufgerufen, fragte die nicht existierende Tabelle users ab. - userkeys.tpl: Passkey-Name escaped. Getestet gegen die migrierte Testdatenbank im strikten Modus. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Claude Opus 5
+48
-64
@@ -1,73 +1,57 @@
|
||||
<?php
|
||||
if(!isset($_POST["user"]))
|
||||
$_POST["user"] = "";
|
||||
else
|
||||
$_POST["user"] = htmlspecialchars($_POST["user"]);
|
||||
if(!isset($_POST["pass"]))
|
||||
$_POST["pass"] = "";
|
||||
else
|
||||
$_POST["pass"] = htmlspecialchars($_POST["pass"]);
|
||||
|
||||
$smarty->display("heading.tpl");
|
||||
$smarty->assign("local",isLocal());
|
||||
if(isset($_GET["formsent"]) && $_SESSION["login"] != "valid" && isLocal())
|
||||
{
|
||||
$qry= mysqli_query($dbconn, "SELECT salt FROM user WHERE LOWER(nick) = '".mysql_escape_string(strtolower($_POST["user"]))."' AND blocked = 0") or error("Es ist ein Fehler in der abfrage der Benutzerdaten: <br />".formaterror(mysqli_error($dbconn)));
|
||||
if(mysqli_num_rows($qry) == 1)
|
||||
{
|
||||
$res = mysqli_fetch_array($qry);
|
||||
$qry= mysqli_query($dbconn, "SELECT * FROM user WHERE nick = '".mysql_escape_string($_POST["user"])."' AND pass = '".crypt($_POST["pass"],$res[0])."'") or error("Es ist ein Fehler in der abfrage der Benutzerdaten: <br />".formaterror(mysqli_error($dbconn)));
|
||||
if(mysqli_num_rows($qry) == 1)
|
||||
{
|
||||
$udata = mysqli_fetch_assoc($qry);
|
||||
// neue Session-ID nach dem Login, sonst ist Session-Fixation möglich
|
||||
session_regenerate_id(true);
|
||||
$_SESSION["login"] = "valid";
|
||||
$_SESSION["logedout"] = $udata["logedout"];
|
||||
$_SESSION["user"] = $udata["id"];
|
||||
$_SESSION["nick"] = $udata["nick"];
|
||||
$_SESSION["vname"] = $udata["vname"];
|
||||
$_SESSION["nname"] = $udata["nname"];
|
||||
$_SESSION["rights"] = $udata["rights"];
|
||||
$_SESSION["lastlogin"] = $udata["lastlogin"];
|
||||
$_SESSION["numlogins"] = $udata["numlogins"];
|
||||
$_SESSION["style"] = getUserSetting($dbconn,"style", $udata["id"]);
|
||||
if(!is_file("styles/".$_SESSION["style"]))
|
||||
{
|
||||
updateUserSetting($dbconn,"style", "default.css", $udata["id"]);
|
||||
$_SESSION["style"] = getUserSetting($dbconn,"style", $udata["id"]);
|
||||
}
|
||||
$_SESSION["zoom"] = getUserSetting($dbconn,"zoom", $_SESSION["user"], 1);
|
||||
$_SESSION["privateNotes"] = getUserSetting($dbconn,"privnotes", $_SESSION["user"], "");
|
||||
|
||||
mysqli_query($dbconn, "UPDATE user SET wrongpw = 0, lastlogin = NOW(), numlogins = numlogins + 1, logedout = 0 WHERE nick = '".mysql_escape_string($_POST["user"])."'");
|
||||
}
|
||||
else
|
||||
{
|
||||
$qry= mysqli_query($dbconn, "SELECT wrongpw FROM user WHERE nick = '".mysql_escape_string($_POST["user"])."'") or error("Es ist ein Fehler in der abfrage der Benutzerdaten: <br />".formaterror(mysqli_error($dbconn)));;
|
||||
if(mysqli_num_rows($qry))
|
||||
{
|
||||
$wrongpw = mysqli_fetch_array($qry);
|
||||
if($wrongpw[0] < 10)
|
||||
{
|
||||
mysqli_query($dbconn, "UPDATE user SET wrongpw = wrongpw + 1 WHERE nick = '".mysql_escape_string($_POST["user"])."'");
|
||||
$triesleft = 10 - $wrongpw[0];
|
||||
if($triesleft > 1)
|
||||
error("Der Benuzername oder das Passwort sind falsch, bitte versuchen Sie es erneut (Nach weiteren $triesleft Versuchen wird der Benutzer deaktiviert und muss vom Hauptbenutzer wieder aktiviert werden, damit er sich anmelden kann.)");
|
||||
else
|
||||
error("Der Benuzername oder das Passwort sind falsch, bitte versuchen Sie es erneut (Wenn der nächste Versuch falsch ist, wird der Benutzer für deaktiviert und muss vom Hauptbenutzer wieder aktiviert werden, damit er sich anmelden kann.)");
|
||||
}
|
||||
else
|
||||
{
|
||||
mysqli_query($dbconn, "UPDATE user SET blocked = 1 WHERE nick = '".mysql_escape_string($_POST["user"])."'");
|
||||
error("Der Benuzer wurde deaktiviert, er muss vom Hauptbenutzer wieder aktiviert werden, damit er sich anmelden kann.");
|
||||
}
|
||||
}
|
||||
|
||||
}
|
||||
}
|
||||
else
|
||||
// Eingaben unverändert verwenden: Passwörter werden beim Anlegen roh
|
||||
// gehasht, ein htmlspecialchars() hier ließ Passwörter mit & < > " '
|
||||
// nie passen. Ausgabe-Escaping übernimmt das Template.
|
||||
$nick = isset($_POST["user"]) && is_string($_POST["user"]) ? $_POST["user"] : "";
|
||||
$pass = isset($_POST["pass"]) && is_string($_POST["pass"]) ? $_POST["pass"] : "";
|
||||
|
||||
$udata = db_zeile($dbconn, "SELECT * FROM user WHERE nick = ? AND blocked = 0", array($nick));
|
||||
if($udata === false)
|
||||
error("Es ist ein Fehler in der abfrage der Benutzerdaten: <br />".formaterror(mysqli_error($dbconn)));
|
||||
elseif($udata === null)
|
||||
error("Dieser Benutzername existiert nicht.");
|
||||
elseif(hash_equals($udata["pass"], crypt($pass, $udata["salt"])))
|
||||
{
|
||||
// neue Session-ID nach dem Login, sonst ist Session-Fixation möglich
|
||||
session_regenerate_id(true);
|
||||
$_SESSION["login"] = "valid";
|
||||
$_SESSION["logedout"] = $udata["logedout"];
|
||||
$_SESSION["user"] = $udata["id"];
|
||||
$_SESSION["nick"] = $udata["nick"];
|
||||
$_SESSION["vname"] = $udata["vname"];
|
||||
$_SESSION["nname"] = $udata["nname"];
|
||||
$_SESSION["rights"] = $udata["rights"];
|
||||
$_SESSION["lastlogin"] = $udata["lastlogin"];
|
||||
$_SESSION["numlogins"] = $udata["numlogins"];
|
||||
$_SESSION["style"] = getUserSetting($dbconn,"style", $udata["id"]);
|
||||
if(!is_file("styles/".$_SESSION["style"]))
|
||||
{
|
||||
updateUserSetting($dbconn,"style", "default.css", $udata["id"]);
|
||||
$_SESSION["style"] = getUserSetting($dbconn,"style", $udata["id"]);
|
||||
}
|
||||
$_SESSION["zoom"] = getUserSetting($dbconn,"zoom", $_SESSION["user"], 1);
|
||||
$_SESSION["privateNotes"] = getUserSetting($dbconn,"privnotes", $_SESSION["user"], "");
|
||||
|
||||
db_abfrage($dbconn, "UPDATE user SET wrongpw = 0, lastlogin = NOW(), numlogins = numlogins + 1, logedout = 0 WHERE id = ?", array($udata["id"]));
|
||||
}
|
||||
elseif($udata["wrongpw"] < 10)
|
||||
{
|
||||
db_abfrage($dbconn, "UPDATE user SET wrongpw = wrongpw + 1 WHERE id = ?", array($udata["id"]));
|
||||
$triesleft = 10 - $udata["wrongpw"];
|
||||
if($triesleft > 1)
|
||||
error("Der Benuzername oder das Passwort sind falsch, bitte versuchen Sie es erneut (Nach weiteren $triesleft Versuchen wird der Benutzer deaktiviert und muss vom Hauptbenutzer wieder aktiviert werden, damit er sich anmelden kann.)");
|
||||
else
|
||||
error("Der Benuzername oder das Passwort sind falsch, bitte versuchen Sie es erneut (Wenn der nächste Versuch falsch ist, wird der Benutzer für deaktiviert und muss vom Hauptbenutzer wieder aktiviert werden, damit er sich anmelden kann.)");
|
||||
}
|
||||
else
|
||||
{
|
||||
db_abfrage($dbconn, "UPDATE user SET blocked = 1 WHERE id = ?", array($udata["id"]));
|
||||
error("Der Benuzer wurde deaktiviert, er muss vom Hauptbenutzer wieder aktiviert werden, damit er sich anmelden kann.");
|
||||
}
|
||||
}
|
||||
if($_SESSION["login"]=="valid"){
|
||||
header('Location:?action=kunden');
|
||||
|
||||
Reference in New Issue
Block a user