Loginsystem mit VB.net, PHP und MySQL

  • PHP

Es gibt 93 Antworten in diesem Thema. Der letzte Beitrag () ist von meikel__.

    anmeldeinformationen heißt die Tabelle ich hab es in den Datein auf dem Websapace direkt geändert.

    Meine Datenbank: test
    Benutzer: test
    Paswort: sag ich dir nicht :P
    Tabelle: anmeldeiformationen

    So sieht es zur zeit aus.
    Ich habs mal geändert in der php datei nun mal schaun

    Ich habe es nun mal genau wie hier im Tutorial gemacht also 1 zu 1 und es geht trotzdem nicht.
    Ich bin am verzweifeln

    PHP-Quellcode

    1. $email = $_GET['email'];
    2. $username = $_GET['user'];
    3. $password = $_GET['pw5'];


    Kann es vielleicht daran liegen das

    PHP-Quellcode

    1. $password = $GET['pw5'];
    heisst und es laut Datenbank passwort heissen müsste ? Denn in der Datenbank steht nierenswo was mit pw5

    Bin neu hier, daher erstmal Hallo an alle :) ..

    Folgendes,
    die Variable pw5 stammt aus dem Http Post den du sendest wenn du dich registrierst.
    Im php Skript wird pw5 dann anschließend zur Variable "password".
    Bzw. die Variable "password" nimmt den Wert von "pw5" an.

    Aber ohne groß drum rum zu reden, hier die Lösung bzgl. der leeren Seite:

    diesen Teil ...

    PHP-Quellcode

    1. if ($verb)
    2. {
    3. $sql = "SELECT * FROM loginsystem WHERE username='".$user."'";
    4. $quer = mysql_query($sql) or die(mysql_error());
    5. $num = mysql_num_rows($quer);
    6. if ($num == 0)
    7. {
    8. echo("User does not exist");
    9. exit();
    10. }
    11. else
    12. {
    13. $row = mysql_fetch_object($quer);
    14. $passwort = $row->passwort;
    15. if ($passwort == $pass)
    16. {
    17. echo("success");
    18. }
    19. }
    20. }


    ... ersetzt du mit diesem Teil.

    PHP-Quellcode

    1. if ($verb)
    2. {
    3. $sql = "SELECT * FROM anmeldeinformationen WHERE username='".$user."'"; //Test des Usernames
    4. $quer = mysql_query($sql) or die(mysql_error());
    5. $num = mysql_num_rows($quer);
    6. if ($num == 0)
    7. {
    8. echo("User does not exist");
    9. exit();
    10. }
    11. else
    12. {
    13. $sql = "SELECT * FROM anmeldeinformationen WHERE password='".$pass."'"; //Test des Passwortes
    14. $quer = mysql_query($sql) or die(mysql_error());
    15. $num = mysql_num_rows($quer);
    16. if ($num == 0)
    17. {
    18. echo("Passwort falsch");
    19. }
    21. else
    22. {
    23. echo("Passwort richtig");
    24. }
    25. }
    26. }



    Hab zwar null Ahnung von php, aber probieren ist wohl das Beste. :P :)

    Gruß

    bossert

    Dann schreib und doch mal die Errorcodes

    Schönes Tutorial jedoch könnte man das ein wenig sauberer machen. (Damit mein ich z.B dass du die Contains-Funktion benutzt)
    "I think Microsoft has abused the Windows brand so much that it has lost its cachet."
    Paul Thurrott

    Neo schrieb:


    PHP-Quellcode

    1. <?php
    2. // Skript geschrieben am 01.08.2009 von Neo
    4. // Verbindungsinformationen zur Datenbank
    5. $dbhost = "localhost";
    6. $dbname = "loginsystem";
    7. $dbuser = "root";
    8. $dbpass = "mysql-pw";
    10. // Variablen festlegen
    11. $email = $_GET['email'];
    12. $username = $_GET['user'];
    13. $password = $_GET['pw5'];
    15. // Verbindung zur MySQL Datenbank herstellen und Daten überprüfen und eintragen
    16. mysql_connect($dbhost, $dbuser, $dbpass)or die("Could not connect: ".mysql_error());
    17. $verb = mysql_select_db($dbname);
    18. if ($verb)
    19. {
    20. echo("Verbindung zu Datenbank aufgebaut!");
    21. if ($email == "" or $username == "" or $password == "")
    22. {
    23. if ($email == "")
    24. echo("<br>Errorcode: <b>2</b>");
    26. if ($username == "")
    27. echo("<br>Errorcode: <b>3</b>");
    29. if ($password == "")
    30. echo("<br>Errorcode: <b>4</b>");
    31. }
    32. else
    33. {
    34. $abfragen_email = "SELECT email FROM anmeldeinformationen WHERE email='$email'";
    35. $abfragen_user = "SELECT username FROM anmeldeinformationen WHERE username='$username'";
    36. $ergebnis_email = mysql_query($abfragen_email);
    37. $ergebnis_user = mysql_query($abfragen_user);
    38. if (mysql_num_rows($ergebnis_email) > 0 or mysql_num_rows($ergebnis_user) > 0)
    39. {
    40. echo("<br>Errorcode: <b>1</b><br>Username und/oder E-Mail Adresse existiert bereits");
    41. }
    42. else
    43. {
    44. $sql = "INSERT INTO ".
    45. "anmeldeinformationen (username, pw5, email) ".
    46. "VALUES ('".
    47. $username."', '".
    48. $password."', '".
    49. $email."')";
    51. $eintrag = mysql_query($sql);
    52. if ($eintrag)
    53. {echo('<br>FINISHED');}
    54. else
    55. {die("<br>Errorcode: <b>5</b>");}
    56. }
    57. }
    58. }
    59. else
    60. {
    61. die('<br>Errorcode: <b>6</b>');
    62. }
    64. mysql_close();
    65. ?>



    Also das würde ich persönlich nicht für irgendwelche Projekte verwenden.
    Hau mal in irgend einen deiner GET-Parameter ein ' oder javascript wie z.B.

    Quellcode

    1. <script>alert(1)</script>


    Du filterst deine Paramter nicht. Das ist schon das Hauptproblem.
    In deinem Script wären SQL-Injections möglich und ebenso kann auch Javascript oder HTML in deine Datenbank geposted werden.
    Also entweder filtert man die Sachen mit mysql_real_escape_string und htmlentities oder man benutzt gleich prepared statements und htmlentities.
    Abgesehen davon wozu das die() am ende? Wenn dein Script problemlos ausgeführt wird, kommst du nicht bis zum mysql_close();.

    Also:

    PHP-Quellcode

    1. <?php
    2. // Skript geschrieben am 01.08.2009 von Neo
    4. // Verbindungsinformationen zur Datenbank
    5. $dbhost = "localhost";
    6. $dbname = "loginsystem";
    7. $dbuser = "root";
    8. $dbpass = "mysql-pw";
    10. // Variablen festlegen
    11. $email = $_GET['email'];
    12. $username = $_GET['user'];
    13. $password = $_GET['pw5'];
    15. // Verbindung zur MySQL Datenbank herstellen und Daten überprüfen und eintragen
    17. $pdo = new PDO("mysql:host=$dbhost;dbname=$dbname", $dbuser, $dbpass) or die("<br>Errorcode: <b>6</b>");
    19. echo("Verbindung zu Datenbank aufgebaut!");
    21. if (empty($email) || empty($username) || empty($password)){
    23. if (empty($email)){
    24. echo("<br>Errorcode: <b>2</b>");
    25. }elseif(empty($username)){
    26. echo("<br>Errorcode: <b>3</b>");
    27. }elseif(empty($password)){
    28. echo("<br>Errorcode: <b>4</b>");
    29. }
    31. }else{
    33. $stmt = $pdo->prepare("SELECT * FROM anmeldeinformationen WHERE email = :email or username = :username");
    34. $stmt->bindParam(":email", $email);
    35. $stmt->bindParam(":username", $username);
    36. $stmt->execute();
    38. if ($stmt->rowCount() > 0){
    39. echo("<br>Errorcode: <b>1</b><br>Username und/oder E-Mail Adresse existiert bereits");
    40. }else{
    42. $stmt = $pdo->prepare("INSERT INTO anmeldeinformationen(username, pw5, email) VALUES( :username, :pw5, :email)");
    43. $stmt->bindParam(":username", htmlentities($username));
    44. $stmt->bindParam(":pw5", htmlentities($password));
    45. $stmt->bindParam(":email", htmlentities($email));
    46. $eintrag = $stmt->execute();
    48. if ($eintrag){
    49. echo('<br>FINISHED');
    50. }else{
    51. echo("<br>Errorcode: <b>5</b>");
    52. }
    53. }
    54. }
    55. ?>[


    ist wesentlich sicherer.

    Dann noch ne kleine Randnotiz zu der Tabellenstruktur. Den einzelnen Attributen den Datentypen TEXT zu geben ist nicht notwendig. Varchar tuts auch.
    Also username z.B. varchar(15), password (jeh nachdem ob md5 oder sha1 für die prüfsummen verwendet wird 32 oder 40), und email warscheinlich nicht mehr als 100 zeichen sprich varchar(100) reicht.

    Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von „Umbekannt“ ()

    Mach mal das Capslock aus.
    Und beschreibe nochmals deinen Standpunkt.
    Mfg: Gather
    Private Nachrichten bezüglich VB-Fragen werden Ignoriert!

    ERROR!

    Also wenn ich zB.
    http://localhost/register.php?email=keineahnung_15@web.de&user=Ablont&pw5=passwort

    eingeb kommt:

    Verbindung zu Datenbank aufgebaut!
    Warning: mysql_num_rows() expects parameter 1 to be resource, boolean given in C:\xampp\htdocs\register.php on line 41

    Warning: mysql_num_rows() expects parameter 1 to be resource, boolean given in C:\xampp\htdocs\register.php on line 41

    Errorcode: 5



    Mein PhP-Code:

    PHP-Quellcode

    1. <?php
    2. // Skript geschrieben am 01.08.2009 von Neo
    5. // Verbindungsinformationen zur Datenbank
    6. $dbhost = "localhost";
    7. $dbname = "loginsystem";
    8. $dbuser = "root";
    9. $dbpass = "Test";
    12. // Variablen festlegen
    13. $email = $_GET['email'];
    14. $username = $_GET['user'];
    15. $password = $_GET['pw5'];
    18. // Verbindung zur MySQL Datenbank herstellen und Daten überprüfen und eintragen
    19. mysql_connect($dbhost, $dbuser, $dbpass)or die("Could not connect: ".mysql_error());
    20. $verb = mysql_select_db($dbname);
    21. if ($verb)
    22. {
    23. echo("Verbindung zu Datenbank aufgebaut!");
    24. if ($email == "" or $username == "" or $password == "")
    25. {
    26. if ($email == "")
    27. echo("<br>Errorcode: <b>2</b>");
    29. if ($username == "")
    30. echo("<br>Errorcode: <b>3</b>");
    32. if ($password == "")
    33. echo("<br>Errorcode: <b>4</b>");
    34. }
    35. else
    36. {
    37. $abfragen_email = "SELECT email FROM anmeldeinformationen WHERE email='$email'";
    38. $abfragen_user = "SELECT username FROM anmeldeinformationen WHERE username='$username'";
    39. $ergebnis_email = mysql_query($abfragen_email);
    40. $ergebnis_user = mysql_query($abfragen_user);
    41. if (mysql_num_rows($ergebnis_email) > 0 or mysql_num_rows($ergebnis_user) > 0)
    42. {
    43. echo("<br>Errorcode: <b>1</b><br>Username und/oder E-Mail Adresse existiert bereits");
    44. }
    45. else
    46. {
    47. $sql = "INSERT INTO ".
    48. "anmeldeinformationen (Benutzername, Passwort, E-Mail) ".
    49. "VALUES ('".
    50. $username."', '".
    51. $password."', '".
    52. $email."')";
    54. $eintrag = mysql_query($sql);
    55. if ($eintrag)
    56. {echo('<br>FINISHED');}
    57. else
    58. {die("<br>Errorcode: <b>5</b>");}
    59. }
    60. }
    61. }
    62. else
    63. {
    64. die('<br>Errorcode: <b>6</b>');
    65. }
    67. mysql_close();
    68. ?>



    Also das hier: "if (mysql_num_rows($ergebnis_email) > 0 or mysql_num_rows($ergebnis_user) > 0)" muss iwas nicht stimmen ^^




    PS: Benutze Xampp zum testen, weil ich es gerne auf einem Server haben will :D

Facebook
Telefonspende