ว่าด้วยเรื่อง password hash ในฐานข้อมูลกับ form login งงมากครับ รบกวนผู้รู้หน่อย
ในเมื่อในฐานข้อมูลเก็บข้อมูล Password เวลาตรวจสอบ(Login) ก็ต้องเข้ารหัสด้วยครับCode (PHP) $passwd = mysql_real_escape_string($_POST['txtPassword']);
$passwd = md5($passwd); #เป็นการเข้ารหัสแบบ md5 หรือถ้าเข้ารหัสแบบอื่นก็เปลี่ยนตรงนี้ครับ
$strSQL = "SELECT * FROM members WHERE name = '".mysql_real_escape_string($_POST['txtUsername'])."'
and members_pass_hash ='$passwd' ";
ประวัติการแก้ไข
Date :
2013-08-26 16:56:03By :
arm8957
ยังไม่ได้อ่ะครับCode (PHP) $members_pass_hash = mysql_real_escape_string($_POST['txtPassword']);
$members_pass_hash = md5($salt.md5($members_pass_hash));
$strSQL = "SELECT * FROM members WHERE name = '".mysql_real_escape_string($_POST['txtUsername'])."'
and members_pass_hash ='$members_pass_hash' ";
Date :
2013-08-26 23:01:35By :
pongtanakorn
คือ md5() มันเป็นการเข้ารหัสทางเดียวครับ เอากลับคืนมาไม่ได้ Code (PHP) // กรณีนี้ไม่ต้อง escape string ครับ เพราะถ้า escape string แล้วเวลาเอาไป md5() มันอาจจะได้ hash ผิดเพี้ยนไป
// และยังไงค่าที่ได้จาก md5() มันปลอดภัยที่จะใช้ใน SQL อยู่แล้วครับ
//$members_pass_hash = mysql_real_escape_string($_POST['txtPassword']);
// ดังนั้นที่คุณบอกว่ายังไม่ได้ ก็คงต้องตรวจสอบครับว่า $salt เนี่ย ตรงกับตอน INSERT หรือเปล่า
// หรือ $salt อาจจะต่อท้าย แทนที่จะอยู่ข้างหน้ารหัสผ่าน
// และ md5() ครั้งเดียวพอครับ ไม่ต้องซ้อนสองครั้ง
$members_pass_hash = md5($salt . $_POST['txtPassword']);
// อาจจะเป็นแบบนี้ $members_pass_hash = md5($_POST['txtPassword'] . $salt) ;
$strSQL = "SELECT * FROM members WHERE name = '".mysql_real_escape_string($_POST['txtUsername'])."'
and members_pass_hash ='$members_pass_hash' ";
ประวัติการแก้ไข
Date :
2013-08-26 23:36:30By :
phpinfo()
จริงๆ ถ้าจะให้ดี เอาโค้ดตอน INSERT มาให้ดูประกอบด้วยก็จะดีมากครับ เพราะที่ผมตอบไปอาจจะไม่ช่วยอะไร เพราะจุดที่ต้องตรวจสอบมันอยู่ที่โค้ด INSERT ด้วย
Date :
2013-08-26 23:39:54By :
phpinfo()
INSERT ผม INSERT กับ บอร์ดสำดร๊จรูปครับ คือ IPB
Date :
2013-08-26 23:44:48By :
pongtanakorn
Date :
2013-08-26 23:48:32By :
pongtanakorn
อ่อ งั้นลองดูไปเรื่อยๆ ครับ ว่า $salt อยู่หน้า หรืออยู่หลัง
Date :
2013-08-26 23:54:46By :
phpinfo()
โอ้้ มันเยอะมากอ่ะครับ ซึ้งผมก็ลองดูแล แต่ไม่เข้าใจเลย T^T
Date :
2013-08-27 00:08:12By :
pongtanakorn
โค้ดนี้คือน่า register ของบอร์ดครับ
Date :
2013-08-27 00:08:40By :
pongtanakorn
เออ ไม่ต้องเอาส่วน HTML มาครับ มันไม่เกี่ยวกันเลย ต้องเป็นส่วนที่ query อ่ะครับ
Date :
2013-08-27 00:15:35By :
phpinfo()
ลองแล้วครับCode (PHP) $this->DB->build( array( 'select' => 'email, name, member_id, ip_address, members_pass_salt, members_pass_hash, joined',
'from' => 'members',
'order' => 'member_id ASC',
'limit' => array( $limit_a, $limit_b ) ) );
$this->DB->execute();
while( $row = $this->DB->fetch() )
{
$members[ $row['member_id'] ] = array( 'email_address' => $row['email'],
'pass_salt' => $row['members_pass_salt'],
'password' => $row['members_pass_hash'],
'ip_address' => $row['ip_address'],
'username' => $row['name'],
'extra' => '',
'flag' => 0,
'join_date' => $row['joined'] );
Date :
2013-08-27 00:20:12By :
pongtanakorn
เป็นโค้ด SELECT ครับ ไม่ใช่ INSERT
Date :
2013-08-27 00:21:32By :
phpinfo()
แบบที่ผมลองน่ะครับCode (PHP) $members_pass_hash = md5($salt . $_POST['txtPassword']);
$strSQL = "SELECT * FROM members WHERE name = '".mysql_real_escape_string($_POST['txtUsername'])."'
and members_pass_hash ='$members_pass_hash' ";
Code (PHP) $members_pass_hash = md5($_POST['txtPassword'] . $salt) ;
$strSQL = "SELECT * FROM members WHERE name = '".mysql_real_escape_string($_POST['txtUsername'])."'
and members_pass_hash ='$members_pass_hash' ";
Date :
2013-08-27 00:22:08By :
pongtanakorn
งั้นเด่วลองหาดูครับ สักครู่
Date :
2013-08-27 00:22:31By :
pongtanakorn
หาไม่เจอครับ ไฟล์มันเยอะมากเลย ตาลายหมดแล้ว งมทั้งวันเลย T^T
Date :
2013-08-27 00:30:23By :
pongtanakorn
$salt นี่ เอามาจากไหนครับ SELECT ออกมาแล้วหรือยัง
Date :
2013-08-27 00:34:39By :
phpinfo()
Tip เล็ๆน้อยๆ
Date :
2013-08-27 06:47:34By :
yamcrocodile
Server 00
Load balance : Server 00
