Очередная ошибка PHP кода за день, поможите???

Question

[Никита Братский]

$connect = mysql_connect("localhost", "cj28778_bd", "1234567") or die(mysql_error());
 mysql_select_db("cj28778_bd");

if(isset($_POST['submit'])){
   $username = $_POST['username'];
   $login = $_POST['login'];
   $password = $_POST['password'];
   $r_password = $_POST['r_password'];
 }
 if ($password == $r_password) {
 	$password = md5($password);
 	$query = mysql_query("INSERT INTO users VALUES('','$username', '$login', '$password')") or die(mysql_error());
 }
 else{
 	die("Пароли не совпадают");
 }


 if (isset($_POST['enter'])) {
  $e_login = $_POST['e_login'];
  $e_password = md5($_POST['e_password']);


  $query = mysql_query("SELECT * FROM users WHERE login='$e_login'");
  $user_data = mysql_fetch_array($query);

  if ($user_data['password'] == $e_password) {
  	echo "Авторизация прошла успешно!";
  }
  else{
  	echo "Неверный пароль или логин";
  }
  
 }

Вот код, и при попытке авторизоваться постоянно выводится "Неверный пароль или логин", вне зависимости от правильности пароля. Ко всему этому, при регистрации создаётся две ячейки в таблице mysql, вторая строка в таблице совпадает с паролем, но при этом отсутствует логин и id . Так же могут создаваться 3 ячейки абсолютно идентичные друг другу

Comments

[Tom Nolane]

покажите/напишите название столбцов в БД

[rPman]

>> "INSERT INTO users VALUES('','$username', '$login', '$password')"
из-за этого кода у вас sql-injection уязвимость, т.е. злоумышленник может составить такой username что одним запросом добавит, например, нового пользователя с админ-доступом

проверяйте все параметры, используемые в запросе, на разрешенные символы (ковычки например нельзя) а лучше пользуйтесь параметризированными запросами, где сам движок БД подменяет :имя на значение со всеми подстановками ковычек и проверками.

[rPman]

и еще, передача логина и пароля в запросе - bad practics, трафик между пользователем и сайтом могут перехватить и пароли украсть.
простейший пример от этого избавиться - передавайте не значения а хеши от (соль+значение), где соль - случайна и ее сообщает сервер при каждом запросе.

Answer 1

[Tom Nolane]

проверьте echo'm переменную $e_password после md5. Мне кажется в ней проблема. (возможно она вообще, пустая) (или $e_login пустой)
п.с. может пароль слишком длинный? у вас в mysql у password стоит длина 26 и прихешировании - не влазиет (соответственно обрезает)?

Comments

[Никита Братский]

сейчас проверю

[Никита Братский]

Вы были правы)) пароль - обрезает

[Никита Братский]

Ответьте пожалуйста на почте

Answer 2

[Alexander Sharihin]

1. Экранируйте SQL-параметры. Ваш сайт - уже одна большая дыра - с БД можно делать что угодно.
2. Отладка для слабаков?

Comments

[Никита Братский]

добавил структуру таблицы

[Никита Братский]

это тест, не более, кроме input'ов ничего нет, да и тем более напрямую подключиться к phpmyadmin'у не получится, поскольку это не локальный сервер

[GrimJack]

Никита Братский: не используйте mysql, хотя бы mysqli. к теме не относится, но все же стоит иметь ввиду

[Alexander Sharihin]

Никита Братский: я могу сделать в поле e_login конструкцию вида '; request ;-- и request выполнится) и я даже больше скажу - есть утилиты, который сами ищут такие дыры. Обязательно перепишите на PDO с использованием подготовленных запросов.