[Hellsing]

Hej!

Jag är TOTALT värdelös på att programmera, men har lyckats att knåpa ihop ett PHP-formulär för registrering av användare där jag vill implementera mysql_real_escape_string för att undvika SQL-injection.

Har jag gjort rätt? Hur kan jag testa att det fungerar?

<?php

$con = mysql_connect("DB-SERVER","MIN-USER","MITT-PASS");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

mysql_select_db("MIN-DB", $con);

$grupp = "2";
$okrypterat = mysql_real_escape_string($_POST['Losenordet']);
$salt = "ETT-STATISKT-SALT";
$krypterat = md5($okrypterat.$salt).':'.$salt;
$datum = date("Y-m-d H:i");

$Namnet = mysql_real_escape_string($_POST['Namnet']);
$UNamnet = mysql_real_escape_string($_POST['UNamnet']);
$Eposten = mysql_real_escape_string($_POST['Eposten']);

$sql="INSERT INTO TABELL1 (name, password, username, email, usertype, registerDate)
VALUES
('$Namnet','$krypterat','$UNamnet','$Eposten','$grupp','$datum')";

if (!mysql_query($sql,$con))
  {
  die('Error: ' . mysql_error());
  }

$anvid = mysql_insert_id();

$sql="INSERT INTO TABELL2 (user_id, group_id)
VALUES
('$anvid','$grupp')";

if (!mysql_query($sql,$con))
  {
  die('Error: ' . mysql_error());
  }

echo "Account created.  You can now login";

mysql_close($con)
?>

[Kekke]

Du bör köra en regex så att man inte kan skriva in html taggar i username,

preg_match('/^[a-z\d_]{5,20}$/i', $username)

[Hellsing]

Låter ju vettigt. Vart placerar jag in detta?

[znap]

För att få ned koden några rader och slippa dubbellagra alla variabler som redan ligger i POST så kan du direkt efter anslutningen till databasen köra

  foreach($_POST as $key=>$val)
    $_POST[$key] = mysql_real_escape_string(strip_tags(trim($val)));

Då har du tagit bort eventuella blanksteg i början och slutet på strängen, strippat bort eventuella html-taggar och försökt skydda dig mot sql-injektioner. (lösenordet bör dock krypteras före detta, du behöver då inte anropa mysql_real_escape_string)

Sen efter det kan du jobba direkt med $_POST[..] och behöver inte lagra om variablerna på nytt, vilket jag kan tycka är helt onödigt i det här fallet.

Sen är det vanligt förekommande såväl bland nybörjare som bland mer erfarna programmerare att man helt struntar i att följa en vedertagen kodkonvention. Googla på något i stil med "coding convention php" eller "coding standards php". Vänj dig heller inte vid att skriva variabel/funktionsnamn på svenska.

Annars så är du ju på gång, bara att forsätta knacka!

[youheardit]

Tycker du fått bra svar hittils och koden ser bra ut. Men en sak jag tycker du bör göra är att lägga till lite sha1 salt på md5-hashet. dvs:

PHP-kod:

$krypterat = sha1(md5($okrypterat.$salt)).':'.$salt; 


Då är krypteringen totalt obrytbar!

[SimonP]

Ursprungligen postat av youheardit

Då är krypteringen totalt obrytbar!

Bruteforce fungerar nästan lika bra mot SHA1(MD5(pass.salt)) som mot MD5(pass.salt). Det krävs key stretching (eller annan KDF) för att man skall få bra säkerhet och ett praktiskt skydd mot bruteforce, t.ex:
for ($i=0; $i < 1000; $i++) $hash .= $pass.$salt;
$hash=SHA1($hash);

[youheardit]

Ursprungligen postat av SimonP

Bruteforce fungerar nästan lika bra mot SHA1(MD5(pass.salt)) som mot MD5(pass.salt). Det krävs key stretching (eller annan KDF) för att man skall få bra säkerhet och ett praktiskt skydd mot bruteforce, t.ex:
for ($i=0; $i < 1000; $i++) $hash .= $pass.$salt;
$hash=SHA1($hash);

Okej, var annat att höra. Har hört det jag sa tidigare. Men tack för informationen.

[SimonP]

Ursprungligen postat av youheardit

Okej, var annat att höra. Har hört det jag sa tidigare. Men tack för informationen.

Det beror visserligen på vem man vill skydda sig mot, men vill man skydda sig mot lite mer avancerade offline GPU-bruteforce attacker så måste man iterera hashningen (eller strängen). De flesta webbkodare missar att skydda sig mot bruteforce, jag tycker man man bör utgå ifrån att någon obehörig kan få tag i lösenordshashen, och därför skydda hashen ordentligt. PBKDF2 är en bra KDF för lösenord, flera kända program som t.ex Mozilla och Truecrypt använder den.

http://www.itnewb.com/v/Encrypting-P...BKDF2-Standard

[Alex]

Ursprungligen postat av youheardit

Okej, var annat att höra. Har hört det jag sa tidigare. Men tack för informationen.

Fast ditt salt gör ju ingen nytta när det finns i "klartext" utanför hashningen. Har man tabellen har man ju också saltet.

[Jake.Nu]

md5 och sha1 är ingen kryptering, det är hashfunktioner (kan uppenbarligen aldrig upprepas tillräckligt många gånger).
Sen ser jag ingen anledning till att inte använda MySQLi och "prepared statements" istället.

Att köra strip_tags(), htmlspecialchars(), trim(), etc, etc på data är ytterligare en åtgärd.