Login con session e password md5

[Tom1884]

Come si effettua il login (ovvero apertura di sessione), confrontando nomeutente/password nel caso in cui, come nel mio, le password siano già presenti in database criptate md5?

[Sto creando le utenze di un sito privato partendo dalle utenze di un forum, percui detengo già i nomi utenti e le password]

[satifal]

Basta criptare la password prima di cercarla sul DB con la funzione PHP md5() oppure direttamente quella fornita da MySQL MD5()

[Tom1884]

Cioe: ricevo la password dal form, la cripto e poi verifico i match nomeutente/pwcriptata con quelle presenti in db? Tutto qui?

[satifal]

Originariamente inviato da Tom1884
Cioe: ricevo la password dal form, la cripto e poi verifico i match nomeutente/pwcriptata con quelle presenti in db? Tutto qui?

Direi di si.

[Tom1884]

Mentre non ho nessun problema nel matchare le username, le password sembrano non matchare.
Copio qui sotto una versione semplificata con il controllo solo sulla password

$password = md5($password); 
$query = "SELECT * FROM fr_utenti WHERE user_password = '$password'"; /* se qui sostituisco con user = $nome, tutto ok! */
$result = mysql_query($query, $db); 
if (!empty($result)){  				
/* login corretto */
}else{
/* login scorretto */
}

[RoTeam]

Perchè non fai cosi? In modo da controllare sia l'username che la password e controllare i risultati

$username = ..... ;
$password = md5($password); 
$query = "SELECT * FROM fr_utenti WHERE user_password = '$password' AND username='$username' ";             
$result = mysql_query($query, $db); 
if (mysql_num_rows($result)==1){                  
/* login corretto */
}else{
/* login scorretto */
} 

[satifal]

La query sembra corretta. Puoi fare una prova utilizzando la funzione MD5() di MySQL anche se dovrebbe funzionare anche così com'è. Se non trova nulla evidentemente non trova quella password:

$query = "SELECT * FROM fr_utenti WHERE user_password = MD5('$password')"; 

ovviamente senza precodificare la password a questo punto (password in chiaro).

[Tom1884]

Ho fatto un confronto, a parità di pw inserita, tra la password generata dal mio md5() [224fd2364d34bdee923495adf3cf71e0] e la password criptata già presente nella tabella degli utenti del mio forum phpBB [$H$9cwosV/kUZexZ0iJVBYq8PWxsGcgxz/]

Come vedete non hanno nulla in comune. E' normale? Purtroppo del funzionamento del cript md5 non so nulla...

Se può esservi d'aiuto, tutte le pw md5 su db cominciano per $H$9...

[RoTeam]

$H$9cwosV/kUZexZ0iJVBYq8PWxsGcgxz questa non è un hash md5, perchè l'md5
genera solo caratteri alfanumerici quindi è ovvio che sia sbagliata

[Tom1884]

Originariamente inviato da RoTeam
$H$9cwosV/kUZexZ0iJVBYq8PWxsGcgxz questa non è un hash md5, perchè l'md5
genera solo caratteri alfanumerici quindi è ovvio che sia sbagliata

Mi dispiace di avervi fatto perdere tempo. Grazie alla vostra segnalazione, ho scoperto che in effetti phpBB non usa un semplice md5, ma un sistema mezzo proprio... sorry!