В чем проблема, е могу понять (Шифрование по MD5)?

Question

[Galdar Turin]

Есть скрипт регистрации и скрипт авторизации. И там и там хеширует пароль, только вот в регистрации хеш по одному, а в авторизации по другому. Как так происходит??

Регистрация

if($checkEmail == true && $checkLogin == true && $checkPassword == true && $checkName == true  && $roleWeb != 'default') {
        $result::connectTables("INSERT INTO "._TABLE_STAFF_."(email, name, login, pass, roleweb, name_role, date_regist) 
            VALUES (
            '".$email."',
            '".$name."',
            '".$login."',
            MD5('".$password._GARBAGEKEY_."'),
            '".$roleWeb."',
            '".$nameRole."',
            '".$datelocal."'
            )");
        echo "<h6>Сотрудник добавлен!</h6>";
        $result::MySQLClose();
    }

Авторизация

<?

if($outAccount != 1){
    require_once'_mysql.php';
    $result = new baseConnect();
    $email = $_POST['email'];
    $pass = $_POST['pass'];
    $datelocal = date('Y-m-d h:i:s');
    $checkPassword = false;

    if(strlen($pass) != 0){
        // Проверка пароля
        if(preg_match( '/^\S*(?=\S{12,25})(?=\S*[a-z])(?=\S*[A-Z])(?=\S*[\d])\S*$/i',$pass)){
            $checkPassword = true;
            $password = MD5($pass._GARBAGEKEY_);
        }else{
            $error2 = "<p>Пароль не соответствует требованиям. Пожалуйста исправьте!</p>";
        }
    }else{$error1 = "<p>Поле с Паролем пустое.</p>";}

    echo $email." ".$password;

    if($checkPassword == true){
        $res = $result::connectTables("SELECT email, pass FROM "._TABLE_STAFF_);
        while( $e = mysqli_fetch_assoc($res) ) {
            if($e['email'] == $email && $e['pass'] == $password){

                $result::connectTables("INSERT INTO "._TABLE_STAFF_."(date_input) VALUES ('".$datelocal."')");
                $result::MySQLClose();
                $_SESSION['email'] = $email;
                $_SESSION['pass'] = $password;
            }
        }
    }
}else{
    session_start();
    session_unset();
    session_destroy();
    $outAccount = 0;
}


?>

В конце добавляет от 2-х до 3-х символов. (Р2c925b19e4ec95e3fa05c42efd26a6200c - допустим это генерация пароля при регистрации, а это при авторизации Р2c925b19e4ec95e3fa05c42efd26a6200cf10 - в конце добавляет постоянно какие-то символы, откуда они я недоумеваю... ) при вводе пробелов точно нет

Comments

[Moses Fender]

Одинаково. Просто в регистрации хеширует в SQL-запросе, а в авторизации в PHP коде.

Answer 1

[Lander]

У вас, похоже, ограничена длинна поля в БД. Вот весь хэш и не влезает.

Comments

[Galdar Turin]

Спасибо, проблема в этом!

[Lander]

Galdar Turin, И прислушайтесь к совету Rsa97 всё таки! :)

Answer 2

[Rsa97]

Не используйте самописные методы. Давно уже есть password_hash() и password_verify().
А вообще, вытягивать всех пользователей из таблицы - это, мягко говоря, выглядит странно. Достаточно запросить пользователя с указанным логином и, если таковой найдётся, проверить его пароль.
И как у вас в базе задано поле `pass`?

Comments

[synapse_people]

не дай Бог вообще такой код поддерживать

[Galdar Turin]

Благодарю, я учусь, не стоит ругаться на то что просто я не знал. Возьму на заметку! Если есть ещё советы напишите, буду благодарен!

[Galdar Turin]

Да задано поле 'pass' не вижу тут ничего странного...

[Rsa97]

Galdar Turin, Вопрос не в том, что оно задано, а как именно оно задано. Какой задан тип поля в базе данных?

[Galdar Turin]

Rsa97, varchar 255, проблема была в длине поля! Но повторяюсь, если вам есть что посоветовать по поводу авторизации, регистрации, проверок, работы с БД, буду рад услышать и поучится!

[Galdar Turin]

Rsa97,
Подскажите что я могу тут делать не правильно?
Если я оставляю пустое поле с паролем то хеш проверяется, если пишу пароль то не совпадает

session_start();
if(isset($_POST['outAccount']))
    $outAccount = $_POST['outAccount'];
    
if($outAccount != 1){

    require_once'_mysql.php';
    $result = new baseConnect();
    $email = $_POST['email'];
    $userPass = $_POST['pass'];
    $datelocal = date('Y-m-d h:i:s');
    echo "Вводимый пароль: ".$userPass."<br>";


    $checkEmail_aut = $result::connectTables("SELECT `pass` FROM `"._TABLE_STAFF_."` WHERE `email` LIKE '".$email."'");
    $passBD = mysqli_fetch_assoc($checkEmail_aut);
    
    if(isset($passBD['pass'])){
        echo "Вывод из БД: ".$passBD['pass']."<br>";
        if(password_verify($userPass._GARBAGEKEY_, $passBD['pass'])){ // тут не сравнивает хеш
            echo "Сравнение хеш: "."<br>".$passBD['pass']."<br>".password_verify($userPass._GARBAGEKEY_, $passBD['pass'])."<br>";
            $result::connectTables("UPDATE "._TABLE_STAFF_." SET date_input = '".$datelocal."' WHERE email = '".$email."'");

            $_SESSION['email'] = $email;
            $_SESSION['password'] = $passBD['pass'];
            $result::MySQLClose();
        }
    }

}else{
    session_unset();
    session_destroy();
    $outAccount = 0;
    $out = json_encode(array(
        outAccount => $outAccount
    ));
    echo $out;
}

[Rsa97]

Galdar Turin, Для начала, "солить" пароль для функций password_hash и password_verify не надо, они с этим и сами прекрасно справляются.
При установке пароля делаете

$hash = password_hash($password, PASSWORD_DEFAULT);

и записываете хэш в базу.
При проверке получаете хэш из базы, и проверяете
if (password_verify($password, $hash)) { ... }

[Galdar Turin]

Rsa97, Так и сделал, очень странная странность)) Получается у меня после авторизации переходит в корневой файл.

форма

... <form class="md-float-material" method="post" action="index.php"> ...

и вот тут происходит непонятка, если я удалю action="index.php" сохраню после его добавлю туда же заходит. Возможно с реализацией выхода что-то не то?

выход

}else{
...
    session_unset();
    session_destroy();
// вывод в ajax js
    $outAccount = 0;
    $out = json_encode(array(
        outAccount => $outAccount
    ));
    echo $out;
}

[Rsa97]

Galdar Turin, Судя по коду, у вас вызывается index.php и, если пароль не совпал, то возвращается только строчка "Вывод из БД: ..."

[Galdar Turin]

Rsa97, насколько практично и вообще можно ли так реализовывать. Отправить данные с формы при помощи js ajax в скрипт php получив разрешения на вход от скрипта php через js перекинуть на нужную страницу

[Rsa97]

Galdar Turin, Если всё равно перекидывать на другую страницу, то можно и без AJAX.
Но можно и с AJAX, как вам удобнее.

[Galdar Turin]

Rsa97, спасибо! Советы помогли да же облегчили в какой-то степени работу. Огромное человеческое спасибо! По поводу action="index.php" я до этого намудрил и не исправил, по этому были траблы с переходом!

Answer 3

[irishmann]

В одном случае MD5 делает MySQLi, во втором PHP

Comments

[Galdar Turin]

Делаю в PHP и в том и в том случае добавляет в конце символы

Answer 4

[Ilya Bobkov]

Так как md5 легко ломается. Дополнительные символы в конце пароля это скорее всего соль для затруднения взлома. Там даже указано _GARBAGEKEY_.

Comments

[Lander]

Так как md5 легко ломается

В каком смысле "легко"?
И соль примешивается ДО хэширования, что никак не может повлиять на длину результата.