Moin,

wie sieht das aus: Seid Ihr euch darüber bewusst, dass man den Login umgehen kann und dass das Ganze wenn eine abgesicherte Verbindung via SSL benötigen würde?
Ansonsten würde ich dann das Passwort an den Server senden, der dann dieses mit gesalzenem und gepfeffertem SHA256 hashed und mit dem gespeicherten Hash in der MySQL-Datenbank vergleicht.

Am Besten sichert Ihr das dann doppelt und bildet mehrere Hashes, um das Passwort nicht im Klartext zu übertragen. In Zusammenarbeit mit SSL, was eig. ausreichen sollte, ist dies dann aber halt auf jeden Fall sicher.
Ohne SSL-Zertífikat wird das allerdings nichts.

Wenn Ihr nichts dagegen habt, dass halt das Ganze umgangen werden kann, da die Zielgruppe da nicht auf dem Stand ist, oder was weiß ich, dann haut es hin, ansonsten wird es schwer möglich. Sollte das eine Funktion sein, die für den Nutzen des Benutzers ist, fällt dieser Aspekt jedoch sowieso weg.
Die PHP muss halt einfach dann die übergebenen Request-Parameter auswerten, diese davor aber auf jeden Fall escapen, da sonst Deine Datenbank ganz schnell gelöscht ist (SQL-Injections) und dann einfach das Zeug an die Datenbank schicken und abfragen.
Dafür gibt es mysqli usw., aber ich würde zu PDO bzw. Prepared Statments raten. Inwiefern das mit denen gut funktioniert, kann ich Dir nicht sagen, bin kein solcher PHP-Typ, aber nur mal als Tipp.

Grüße

NudelHolz schrieb:

sha256 zu verschlüsseln.

sha256 ist eine Hash-Funktion, keine Verschlüsselung! Damit kann man nur einen Weg gehen, nicht den anderen.

SHA256 ist keine Verschlüsselung, sondern ein Hash, also nicht umkehrbar.
Edit:// Oh, zu spät.

Erster Ansatz wäre ein SSL-Zertifkat, wie sieht's damit aus?
Wo gibt es denn aktuell genau Probleme? Zum Berechnen des Hashes via C# braucht man nur die SHA256Managed-Klasse. Das halt, wenn man z. B. doppelt hashen möchte.

Ihr braucht halt dann 2 PHP-Scripts, eins für die Registrierung und eins für den Login. Dort wird dann das Passwort, das übergeben wurde, serverseitig gehashed und der Hash + Salz in der Datenbank gespeichert. Der Pfeffer ist ja eine konstante Zeichenfolge, die, wie das Salz auch, zufällig generiert werden sollte.
stackoverflow.com/questions/15…with-blowfish-salt-pepper

Da ist mal eine Anregung. Vergesst auch nicht, die Parameter zu escapen. Dann einfach via C# die URL des Scripts aufrufen, die Parameter via ?username=test&password=... anhängen und fertig. Den Rest erledigt das Script.
Ansonsten beim Login einfach dann die Abfrage auswerten und ausgeben. Diese Ausgabe kann man dann am Ende mit dem C#-Client auslesen und in einen bool parsen.

Die MySQL-Credentials können dann btw auch plain im Script stehen, da die eh niemand zu Gesicht bekommt, solange er nicht auf dem Webserver unterwegs ist und Dateien sieht, da PHP durch den Interpreter immer ausgeführt wird.

Grüße