SQL Abfrage

Phate76

Ich hab hier ein Problem mit einer SQL Abfrage. Und zwar möchte ich den LOGIN unseres Chats umgehen und möchte daher in der Chat.php die Usernamen direkt auslesen. Ich weiss aber nicht wirklich wie ich das machen soll. Hab zwar mal nen anfang gemacht, aber komme nicht weiter. Ich stell einfach mal den Code mit ein, damit ihr sehen könnt wo mein Fehler ist.

PHP

<?php
 
$host = "localhost";
$user = "*******";
$password ="*******";


// GET-Variablen speichern:
 if(isset($_GET['password']) && isset($_GET['user']) && isset($_GET['db']) && isset($_GET['table'])) {
 $password = $_GET['password'];
 $user = $_GET['user'];
 $db = $_GET['db'];
 $table = $_GET['table'];


 // Verbindung zur Datenbank:
  @mysql_connect($host, $user, $password) OR die(mysql_error());
  @mysql_select_db($db) OR die(mysql_error());

Alles anzeigen

So und da hört mein Wissen auf. Ich hoffe ihr könnt mir helfen.

Bandit

Dir ist klar, dass du damit eine riesige Sicherheitslücke aufmachst? Daten wie Passwort übergibt man nicht per URL.

PHP

<?php


   $query = "Select
                    id
                  from
                    $table
                  where
                    user='" . mysql_real_escape_string($user) . "'
                   AND
                    passwort='" . md5($password) . "'";


   $result = mysql_query($query) 
      or die ("MySQL-Fehler: " . mysql_error());


   if (mysql_num_rows($result) != 0)
     echo "Valid User";
   else
    echo "Unknown User";
?>

Alles anzeigen

Phate76

Das ist wahr. Eigentlich brauch ich das Passwort auch gar nicht. Ich möchte nur erreichen, das derjenige der auf unserer Seite angemeldet ist, ohne erneuten Login in den Chat kommt. Nicht angemeldete Benutzer sehen den Link zum Chat eh nicht.

chris90night

Zitat von Phate76

Ich möchte nur erreichen, das derjenige der auf unserer Seite angemeldet ist, ohne erneuten Login in den Chat kommt. Nicht angemeldete Benutzer sehen den Link zum Chat eh nicht.

Warum benutzt du dann nicht die Sessions? Wenn ein User sowieso schon angemeldet ist, dann müsstest du in der Chat-Datei einfach nur auslesen, ob die Session für diesen Benutzer vorhanden und gültig ist.

Außerdem ist die jetzige Methode, wie schon angesprochen, eine große Sicherheitslücke. Da braucht sich nur jemand den Link zu kopieren und weiterzugeben. Und schon ist es egal, ob man angemeldet ist oder nicht...

MfG

Phate76

Nun ja das Problem ist MySQL. Davon habe ich null Ahnung. hab mir den Schnipsel bis jetzt aus anderen Infusionen zusammengebastelt. Aber wie ich was machen muss weiss ich ehrlich gesagt absolut nicht!!!

Bandit

Zitat von Phate76

der auf unserer Seite angemeldet ist.....

Bei dieser Anmeldung setzt du eine Session-Variable und im Script vom Chat prüfst du darauf.

PHP

<?php
  session_start();


  // Login
  // Wenn erfolgreich
  $_SESSION['validUser'] = true;
?>

PHP

<?php
  session_start();


  // Chat-Script
  if (! isset($_SESSION['validUser']))
  {
      header ("Location: http://www.domain.de/login.php");
      exit;
  }
?>

Alles anzeigen

Phate76

Eigentlich müsste doch diese Variable beim Login auf der Seite schon gesetzt werden. Dann könnte ich die doch einfach im Chat-Skript abfragen oder? Das Problem ist folgendes. Wir haben eine PHP Fuion Seite und möchten den et_chat_v305 darin einbauen. Aber halt so, das die User sich nicht noch extra in den Chat einloggen müssen.

Bandit

Zitat von Phate76

Eigentlich müsste doch diese Variable beim Login auf der Seite schon gesetzt werden.

Das kannst nur du rausfinden, in dem du dir den Quellcode ansiehst.

Phate76

Irgendwie komm ich nicht ganz klar damit. Vielleicht kann mir jemand sagen, wo ich die Session im Login starten muss um mein Vorhaben zu realisieren. Ich poste einfach mal den Code vom Login.

PHP

<?php
/*-------------------------------------------------------+
| PHP-Fusion Content Management System
| Copyright (C) 2002 - 2008 Nick Jones
| http://www.php-fusion.co.uk/
+--------------------------------------------------------+
| Filename: login.php
| Author: Nick Jones (Digitanium)
+--------------------------------------------------------+
| This program is released as free software under the
| Affero GPL license. You can redistribute it and/or
| modify it under the terms of this license which you
| can read by viewing the included agpl.txt or online
| at www.gnu.org/licenses/agpl.html. Removal of this
| copyright header is strictly prohibited without
| written permission from the original author(s).
+--------------------------------------------------------*/
require_once "maincore.php";
require_once THEMES."templates/header.php";


add_to_title($locale['global_200'].$locale['global_100']);


if (iMEMBER) {
    opentable($userdata['user_name']);
    echo "<div style='text-align:center'><br />\n";
    $msg_count = dbcount("(message_id)", DB_MESSAGES, "message_to='".$userdata['user_id']."' AND message_read='0'AND message_folder='0'");
    echo THEME_BULLET." <a href='".BASEDIR."edit_profile.php' class='side'>".$locale['global_120']."</a><br />\n";
    echo THEME_BULLET." <a href='".BASEDIR."messages.php' class='side'>".$locale['global_121']."</a><br />\n";
    echo THEME_BULLET." <a href='".BASEDIR."members.php' class='side'>".$locale['global_122']."</a><br />\n";
    if (iADMIN && (iUSER_RIGHTS != "" || iUSER_RIGHTS != "C")) {
        echo THEME_BULLET." <a href='".ADMIN."index.php".$aidlink."' class='side'>".$locale['global_123']."</a><br />\n";
    }
    echo THEME_BULLET." <a href='".BASEDIR."setuser.php?logout=yes' class='side'>".$locale['global_124']."</a>\n";
    if ($msg_count) { echo "<br /><br /><strong><a href='".BASEDIR."messages.php' class='side'>".sprintf($locale['global_125'], $msg_count).($msg_count == 1 ? $locale['global_126'] : $locale['global_127'])."</a></strong>\n"; }
    echo "<br /><br /></div>\n";
} else {
    opentable($locale['global_100']);
    echo "<div style='text-align:center'><br />\n";
    echo "<form name='loginform' method='post' action='".FUSION_SELF."'>\n";
    echo $locale['global_101']."<br />\n<input type='text' name='user_name' class='textbox' style='width:100px' /><br />\n";
    echo $locale['global_102']."<br />\n<input type='password' name='user_pass' class='textbox' style='width:100px' /><br />\n";
    echo "<label><input type='checkbox' name='remember_me' value='y' />".$locale['global_103']."</label><br /><br />\n";
    echo "<input type='submit' name='login' value='".$locale['global_104']."' class='button' /><br />\n";
    echo "<br /></form>\n";
    if ($settings['enable_registration']) {
        echo "".$locale['global_105']."<br /><br />\n";
    }
    echo $locale['global_106'];
    echo "<br /><br /></div>\n";
}
closetable();


require_once THEMES."templates/footer.php";
?>

Alles anzeigen

Bandit

Die Session sollte man, um eventuellen Problemen aus dem Weg zu gehen, immer am Anfang starten. Ansonsten ist es sehr schwer, die richtige Stelle zu finden, an der die Session-Daten gesetzt werden müssen. Man muss, wenn man die Scripte nicht alle kennt, einfach jede Menge echo's einbauen, um den Verlauf nachvollziehen zu können. Oder man geht mit einem Debugger das Script Schritt für Schritt durch.

SQL Abfrage

Tags

Benutzer online in diesem Thema