0

Вчера задавал вопрос об авторизации, так как мои пользователи могут ее обходить, вчера весь вечер обшаривал гугл и написал новую авторизацию:

<?php
session_start();
if (isset($_POST['login'])) { $login = $_POST['login']; if ($login == '') { unset($login);} } 
if (isset($_POST['password'])) { $password=$_POST['password']; if ($password =='') { unset($password);} }
if (empty($login) or empty($password)){
echo "<script>alert('Вы ввели не всю информацию, вернитесь назад и заполните все поля!'); location.href='index.php';</script>"; exit;}
$login = stripslashes($login);$login = htmlspecialchars($login);$password = stripslashes($password);$password = htmlspecialchars($password);$login = trim($login);$password = trim($password);
if (strlen($login) < 3 or strlen($login) > 15) {
echo "<script>alert('Логин должен состоять не менее чем из 3 символов и не более чем из 15.'); location.href='';</script>";  exit;}
if (strlen($password) < 3 or strlen($password) > 15) {
echo "<script>alert('Пароль должен состоять не менее чем из 6 символов и не более чем из 25.'); location.href='';</script>";  exit;}
include ("include/config.php");
include ("include/db3.php");
$db = db($config);
include ("include/ban.php");
$ip=getenv("HTTP_X_FORWARDED_FOR");
if (empty($ip) || $ip=='unknown') { $ip=getenv("REMOTE_ADDR"); }
$myrow9 = first('SELECT activation FROM users WHERE login="%s"',$login);
$activation = "0";
$activation1 = $myrow9['activation'];
if ($activation1 == $activation) {echo "<script>alert('В игру вас непропускает БАН!'); location.href='index.php';</script>"; exit;}
$password = md5($password);
$password = strrev($password);
$password = $password."b3p6f";
$myrow = first('SELECT * FROM users WHERE login="%s" AND password="%s" AND activation=1',$login,$password);
if (empty($myrow['id'])){
echo "<script>alert('Извините, введённый вами логин или пароль неверный.'); location.href='index.php';</script>"; exit;
}else{
$_SESSION['password']=$myrow['password']; 
$_SESSION['login']=$myrow['login']; 
$_SESSION['id']=$myrow['id'];
$ip_proverka = first('SELECT id_struct FROM ip_user WHERE user_id=%d',$_SESSION['id']);
$date = date('Y-m-d');
if(!$ip_proverka){
insert('ip_user',array(
   'user_id'=>$_SESSION['id'],
   'ip_adress'=>$ip,
   'date'=>MYSQL_NOW));
}else{
update('ip_user',array('ip_adress'=>$ip, 'date'=>$date),'user_id='.(int)$_SESSION['id']);
update('users',array('ip'=>$ip),'id='.(int)$_SESSION['id']);}

if (isset($_POST['save'])){
setcookie("login", $_POST["login"], time()+9999999);}
if (isset($_POST['autovhod'])){
setcookie("auto", "yes", time()+9999999);
setcookie("login", $_POST["login"], time()+9999999);}
include ("include/hello.php");} 
?>

Скажите пожалуйста, эту авторизацию обойти можно, если да, то как?

4
  • Ну вопервых этот скрипт взят с сайта, очень похожи)) Обойти можно все что угодно при должном желании и тут непонятно как они ее обходят. Если хотите чтоб пользователи не заходили на страницы, нужно на них же и прописывать скрипт.
    – LordySL
    Commented 4 мар. 2012 в 9:38
  • 1
    Да кто будет эту мешанину адъскую читать. Commented 4 мар. 2012 в 9:46
  • 1
    Написать код, понятный компьютеру сможет любой дурак, а вот написать код понятный человеку сможет далеко не каждый, задумайтесь об этом. Commented 4 мар. 2012 в 11:32
  • 1
    Несколько советов: 1. first, update, insert: из кода понятно что это функции работы с базой, но лучше бы сделать некоторый префикс, например: db_ 2. Вы про оформления кода что то слышали ? Про стили ? Не, не слышали ? paste.org.ru/?m6v0li Согласитесь, так выглядит лучше ? Commented 4 мар. 2012 в 11:44

1 ответ 1

2

Задачей регистрации является ограничение доступа к определенным местам сайта или личной информации, а значит на каждой странице к которой гость не может получить доступа должно быть что то вроде проверки. Вставь это на все странички куда гостям вход запрещен. Если чтото не так то поправь сам.

 <?php
              //  Очень важно запустить ее  в самом начале странички!!!
              session_start();
     include ("bd.php");// файл bd.php это тот файл через который осуществляется подключение к MySQL
     if (!empty($_SESSION['login']) and !empty($_SESSION['password']))
                {
                //если логин и пароль есть то проверяем действительны ли они

                $login = $_SESSION['login'];
                $password = $_SESSION['password'];
                $res = mysql_query("SELECT id FROM  users WHERE login='$login' AND password='$password'",$db); //по id проверяем.
                $myrow = mysql_fetch_array($res); 
                if (empty($myrow['id']))
                   {
                   //если нет таких данных
                    exit("Вход на эту страницу вам запрещен");
                   }
                }
                else {
                //зарегистрирован ли вошедший?
                exit("Вход на эту гостям запрещен"); }
                ?>

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.