md5 verschlüsseltes passwort in Datenbank schreiben

Danielowski · 24. Juli 2012, 14:09

Hey Leute,

Ich versuche ein Passwort zusammen mit einem Benutzernamen per md5() zu verschlüsseln und dann in eine Datenbank zu schreiben. Ich bekomme aber immer folgende Fehlermeldung:

Parse error: syntax error, unexpected T_STRING in .../htdocs/create_hashpw.php on line 10

Hier mal mein Quellcode. Daten habe ich mal durch Platzhalter ersetzt.

Quellcode

<?php
$link = mysql_connect('host','userid','password');
$data = mysql_select_db('badcoder', $link);
$hashpw = md5('websiteusername','websitepassword');
if($link)
{
if($data)
{
$befehl = 'UPDATE user SET password=$_POST['hashpw'] WHERE id=1';
mysql_query($befehl);
if(mysql_query($befehl))
{
echo 'Erfolgreich erstellt!';
}
else
{
echo 'erstellen Fehlgeschlagen!';
$ausgabe = mysql_error();
echo $ausgabe;
}
}
else
{
echo 'Failed to connect to database';
}
}
else
{
echo 'Failed to connect to database host';
}
?>

Alles anzeigen

Edit:

Ich hab e grade den Fehler gefunden. Mann musste den MySQL Befehl wie folgt ändern:

Quellcode

$befehl = "UPDATE user SET password = '$hashpw' WHERE id = 1";

Jetzt schreibt er mir aber folgendes in die Datenbank:

ÉNŠ×™ù/ã?vRÅ£ªt

Das sieht mir nicht nach einem md5 Hash aus. Ich komme damit auch nicht in den Admin Bereich meiner Website rein.
Egal welche Zeichenketten ich als Username und Passwort eingebe, es kommt immer dieses Zeichen gewirr dabei raus.
Wo liegt der Fehler?

vince · 24. Juli 2012, 16:14

Hi,

hast du dir mal das Manual von MD5 angeschaut?

string md5 ( string $str [, bool $raw_output = false ] )

raw_output
Wurde der optionale Parameter raw_output mit TRUE angegeben, wird der MD5-Wert im Raw Binary Format mit einer Länge von 16 Zeichen zurückgegeben.

Quellcode

$hashpw = md5('websiteusername','websitepassword');

Danielowski · 24. Juli 2012, 18:29

Hey, wie soll ich das dann umschreiben. Wenn ich raw_output auf false stelle, kommt wieder eine Fehlermeldung, dass er das "[" nicht erwartet hat.

vince · 24. Juli 2012, 18:48

Danielowski schrieb:

Hey, wie soll ich das dann umschreiben. Wenn ich raw_output auf false stelle, kommt wieder eine Fehlermeldung, dass er das "[" nicht erwartet hat.

Wie gibst du das denn ein? Die eckigen Klammern bedeuten, dass die Angabe optional ist und auf false brauchst du das auch nicht stellen, da false der Defaultwert ist.

Quellcode

$hashpw = md5('websitepassword');
echo $hashpw; //fc7d8ba19d01c5311e90f3f7e1655ec2

Danielowski · 24. Juli 2012, 19:01

vince schrieb:

Danielowski schrieb:

Hey, wie soll ich das dann umschreiben. Wenn ich raw_output auf false stelle, kommt wieder eine Fehlermeldung, dass er das "[" nicht erwartet hat.

Wie gibst du das denn ein? Die eckigen Klammern bedeuten, dass die Angabe optional ist und auf false brauchst du das auch nicht stellen, da false der Defaultwert ist.

Quellcode

$hashpw = md5('websitepassword');

echo $hashpw; //fc7d8ba19d01c5311e90f3f7e1655ec2

mh ja so hab ich das auch probiert. Dann gibt er zwar den richtigen Code, aber in den Admin bereich komme ich immer noch nicht. Liegt wohl woanders dran.. Naja danke aber für deine Hilfe.

vince · 24. Juli 2012, 19:28

Danielowski schrieb:

mh ja so hab ich das auch probiert. Dann gibt er zwar den richtigen Code, aber in den Admin bereich komme ich immer noch nicht. Liegt wohl woanders dran.. Naja danke aber für deine Hilfe.

Wie sieht denn deine Abfrage für den Login aus?

Quellcode

SELECT ... FROM ... WHERE username = $username AND password = md5($password)

Danielowski · 24. Juli 2012, 23:17

Uff, ich poste das dann mal alles.
Also:

Das hier ist die index.php des admin bereiches:

Quellcode

/* Konfigurationsdateien laden */
include('../inc/base.inc.php'); /* Layout Konfigurations Datei */
include('../inc/adminfunctions.inc.php'); /*Admin Funktionen */
include('../inc/login.inc.php'); /* login funktion */
/* Überprüfen ob Login erfolgt ist, ggf. Anmeldemöglichkeit bieten */
if(is_logged_in())
{
/* übergebene Variablen auslesen */
$cmd = $_GET['cmd'];
$id = $_GET['id'];
/* Template einlesen */
$template = get_file_as_string($base['adm_template']);
/* Inhalt laden */
switch(strtolower($cmd))
{
/* Content Laden */
}
/* Platzhalter ersetzen */
$template = str_replace($base['tag_start'].'title'.$base['tag_end'],$base['adm_title'],$template);
$template = str_replace($base['tag_start'].'shortnav'.$base['tag_end'],$base['adm_shortnav'],$template);
$template = str_replace($base['tag_start'].'navigation'.$base['tag_end'],$base['adm_navigation'],$template);
$template = str_replace($base['tag_start'].'content'.$base['tag_end'],$base['adm_content'],$template);
$template = str_replace('$PHP_SELF',$PHP_SELF,$template);
/* Template ausgeben */
echo stripslashes($template);
}

Alles anzeigen

login.inc.php sieht folgendermaßen aus:

Quellcode

<?php
/* Session initialisieren */
session_start();
/* Überprüft, ob ein Login erfolgt ist */
function is_logged_in()
{
global $base;
/* User angemeldet? */
if($_SESSION['authenticated'] == true)
{
return true;
}
/* Login ausgeben */
else
{
$content = '<h4>Login</h4>';
$content .= '<form action="login.php" method="post">';
$content .= '<table border="0" cellpadding="2" cellspacing="0">';
$content .= '<tr>';
$content .= '<td>Benutzername:</td><td><input type="text" name="username" size="32" maxlength="64"></td>';
$content .= '</tr><tr>';
$content .= '<td>Passwort:</td><td><input type="password" name="password" size="32"></td>';
$content .= '</tr><tr>';
$content .= '<td></td><td><input type="submit" value="Login"></td>';
$content .= '</tr>';
$content .= '</table>';
$content .= '</form>';
$template = get_file_as_string($base['adm_template']);
$template = str_replace($base['tag_start'].'title'.$base['tag_end'],$base['adm_title'],$template);
$template = str_replace($base['tag_start'].'shortnav'.$base['tag_end'],' ',$template);
$template = str_replace($base['tag_start'].'navigation'.$base['tag_end'],' ',$template);
$template = str_replace($base['tag_start'].'content'.$base['tag_end'],$content,$template);
$template = str_replace('$PHP_SELF',$PHP_SELF,$template);
echo stripslashes($template);
return false;
}
}
?>

Alles anzeigen

Und hier dann noch die login.php:

Quellcode

<?php
/* Session initialisieren */
session_start();
/* übergebene Variablen auslesen */
$username = $_POST['username'] ? $_POST['username'] : false;
$password = $_POST['password'] ? $_POST['password'] : false;
if($username && $password)
{
/* verschlüsseltes Passwort erzeugen */
$encrypted = md5($username,$password);
include('../inc/database.inc.php');
$connection = mysql_connect($db['host'],$db['uid'],$db['pwd']);
if($connection)
{
if(mysql_select_db($db['db']))
{
$sql = "SELECT id FROM user WHERE (username = '$username') AND (password = '$encrypted') AND (active = 'true')";
$result = mysql_query($sql);
if($result && (@mysql_num_rows($result) > 0))
{
$row = mysql_fetch_row($result);
$_SESSION['authenticated'] = true;
$_SESSION['user_id'] = $row[0];
$_SESSION['username'] = $username;
}
else
{
$_SESSION['authenticated'] = false;
}
}
}
}
/* Umleitung */
header('Location: index.php');
?>

Alles anzeigen

Ich finde einfach nicht den Fehler, dass ich nicht in den Admin Bereich komme. Selbst wenn ich den md5 Hash Vergleich mit der Datenbank so ändere wie beschrieben lässt er mich immer noch nicht rein.
Vielleicht siehst du ja den Fehler. Ich such schon den ganzen Tag. Ich denke ich brauch ne Pause. Naja danke schon mal für die Hilfe. Die Datei am Anfang wollte ich nutzen um ein md5 hash Passwort in die Datenbank zu schreiben, so als Anfang für einen registrations script.

MfG Danielowski

Deadman44 · 25. Juli 2012, 00:33

Also auf den ersten Blick sehe ich, dass du Vince's Rat anscheinend noch nicht ganz befolgt hast.

Quellcode

/* verschlüsseltes Passwort erzeugen */
$encrypted = md5($username,$password);

sollte eigentlich so aussehen:

Quellcode

/* verschlüsseltes Passwort erzeugen */
$encrypted = md5($password);

.
Hier wird jetzt nur noch das Passwort gehasht. Dann sollte deine SQL Abfrage auch funktionieren.
Grundsätzlich wird bei Benutzern normalerweise nur das Passwort gehasht, da der Benutzername kein Geheimnis ist und sollte auch nicht als geheim angenommen werden.

Danielowski · 25. Juli 2012, 03:06

Deadman44 schrieb:

Also auf den ersten Blick sehe ich, dass du Vince's Rat anscheinend noch nicht ganz befolgt hast.

Quellcode

/* verschlüsseltes Passwort erzeugen */

$encrypted = md5($username,$password);

sollte eigentlich so aussehen:

Quellcode

/* verschlüsseltes Passwort erzeugen */

$encrypted = md5($password);

.
Hier wird jetzt nur noch das Passwort gehasht. Dann sollte deine SQL Abfrage auch funktionieren.
Grundsätzlich wird bei Benutzern normalerweise nur das Passwort gehasht, da der Benutzername kein Geheimnis ist und sollte auch nicht als geheim angenommen werden.

Ja das hab ich schon gemerkt. In dem Buch, mit dem ich mir PHP beigebracht habe, wurde gesagt das es halt sicherer wäre das Passwort zusammen mit dem usernamen zu verschlüsseln, um entschlüsseln so gut wie unmöglich wäre. Ist halt schon etwas älter das Buch. Aber mein Haupt Problem ist jetzt, das wenn ich einen User in der Datenbank mit verschlüsseltem Passwort eingebe, dass er mich trotzdem nicht in dem Admin bereich lässt. Er geht bei der Index Php nicht in den content sondern wieder zur Anmeldung.

vince · 25. Juli 2012, 08:30

Danielowski schrieb:

das es halt sicherer wäre das Passwort zusammen mit dem usernamen zu verschlüsseln, um entschlüsseln so gut wie unmöglich wäre

aber dann kannst du doch nicht einfach einen weiteren Parameter an eine Funktion hängen :rolleyes:

um das zu realisieren, musst du deinen String konkatenieren.

Quellcode

$encrypted = md5($username.$password);

Danielowski schrieb:

Aber mein Haupt Problem ist jetzt, das wenn ich einen User in der Datenbank mit verschlüsseltem Passwort eingebe, dass er mich trotzdem nicht in dem Admin bereich lässt. Er geht bei der Index Php nicht in den content sondern wieder zur Anmeldung.

Dann schau dir doch mal dein SQL an. Da ich davon ausgehe, dass du keinen Debugger nutzt, dann so:

Quellcode

$sql = "SELECT id FROM user WHERE (username = '$username') AND (password = '$encrypted') AND (active = 'true')";
echo $sql;
exit();

Danielowski · 25. Juli 2012, 13:16

mh.. das sieht für mich alles relativ in Ordnung aus. Wenn ich den Befehl direkt in phpmyadmin eingebe, gibt er mir auch den richten Datensatz aus.

Fragz · 25. Juli 2012, 13:26

Hallo,

Es gibt kleine Unterschiede was phpmyadmin und den SQL per PHP angeht.
Ich erkläre es mal ein wenig genauer

Quellcode

$hashpw = md5('websiteusername','websitepassword');

Klappt nicht. 2 Werte werden IMMER mit einem Punkt verbunden, nicht mit einem Komma.
Deswegen, speicher dein Benutzername und dein Passwort was du per POST übergibst jeweils in Variablen

Anschliessend nutzt du folgendes

Quellcode

$hashpw = md5($username.$password);

Damit kannst du nun Arbeiten. Du musst bei der Abfrage in deiner login.php auch damit arbeiten

Danielowski · 25. Juli 2012, 13:40

Ah, danke. Da war dieser Fehler. In den Admin Bereich komm ich trotz Fehlerbehebung leider immer noch nicht.

M4rc3L-XCN · 21. August 2012, 09:05

Ich würde jetzt auf den schnellen Blick vermuten, dass du für deine weiteren Schritte nicht die richtigen Daten bekommst.

PHP-Quellcode

$sql = 'SELECT id,username,password FROM user WHERE (username = "'.$username.'") AND (password = "'.$password.'") AND (active = "true")';

Deine Ausgabe der Fehlermeldung wird unterdrückt, wegen dem @-Zeichen.
Ich würde die Abfrage so aufbauen:

PHP-Quellcode

<?php
/* Session initialisieren */
session_start();
/* übergebene Variablen auslesen und prüfen */
(!empty($_POST['username'])) ? $username = $_POST['username'] : $username = false;
(!empty($_POST['password'])) ? $password = md5($_POST['password']) : $password = false;
if($username != false && $password != false)
{
include('../inc/database.inc.php');
$connection = mysql_connect($db['host'],$db['uid'],$db['pwd']);
if($connection)
{
if(mysql_select_db($db['db']))
{
$sql = 'SELECT id,username,password,active FROM user WHERE '.
'(username = "'.mysql_real_escape_string($username).'") AND '.
'(password = "'.mysql_real_escape_string($password).'") AND (active = "true")';
$result = mysql_query($sql);
if(mysql_num_rows($result) > 0)
{
$row = mysql_fetch_assoc($result);
$_SESSION['authenticated'] = true;
$_SESSION['user_id'] = $row['id'];
$_SESSION['username'] = $row['username'];
}
else
{
$_SESSION['authenticated'] = false;
}
}
}
}
/* Umleitung */
header('Location: index.php');
?>

Alles anzeigen

md5 verschlüsseltes passwort in Datenbank schreiben

md5 verschlüsseltes passwort in Datenbank schreiben

Quellcode

Quellcode

Quellcode

Danielowski schrieb:

Quellcode

vince schrieb:

Danielowski schrieb:

Quellcode

Danielowski schrieb:

Quellcode

Quellcode

Quellcode

Quellcode

Quellcode

Quellcode

Deadman44 schrieb:

Quellcode

Quellcode

Danielowski schrieb:

Quellcode

Danielowski schrieb:

Quellcode

Quellcode

Quellcode

PHP-Quellcode

PHP-Quellcode

Teilen

Tags