login

[clasku]

saranno i 40 caratteri di un numero esadecimale composto dalla tua password con un "pezzo in più" dato dal salt
quindi la funzione applicherà il suo algoritmo su una serie di caratteri diversa da quella scelta dall'utente, evitando come ha evidenziato boots che un attaccante possa basare un attacco sulla ripetitività di uso delle password e su dizionari

una cosa è provare a trovare la password = pippo codificata in sha-1 e un'altra è trovare la password = 1lMio$al4pippo codificata in sha-1

ecco, boots ha chiarito il concetto meglio di me

[boots]

chiarissimi
quindi faccio
$salt="tante belle parole";
$psw=sha256($psw.$salt);

poi quando dovrò estrarre
$psw=sha256($salt.mysql_real_escape_string($psw)); corretto???

L'ordine deve essere lo stesso...
$psw=sha256($salt.mysql_real_escape_string($psw));
$psw=sha256($salt.$psw);

quindi una sorta di livello di accesso
liv1- fa tutto
liv2- alcune cose
liv3- guarda

ho interpretato bene???

Non proprio...
Metti caso ho un codice del genere

// www.miosito.it/admin/cancella_utente.php
session_start();
if(!isset($_SESSION['username'])) {
    // redirect
}
$id = (int)$_GET['id'];
mysql_query ("DELETE FROM users WHERE id=$id"); 

Io faccio il login e quindi posso effettuare la cancellazioe di un utente. Non faccio il logout e visito il sito (o ricevo una mail) di un malintenzionato.
Questi piazza il link www.miosito.it/admin/cancella_utente.php?id=1 nel src di un tag img.
Il tuo browser farà la richiesta a www.miosito.it e visto che sono alcora loggato (ed ho i permessi) il record 1 verrà cancellato senza che io me ne accorga

[rare]

ragazzi ho incontrato un altro problema...
in pratica il login in locale funziona in remoto no
facendo delle prove con echo, mi sono accorto che result rimane vuota
di conseguenza anche count e non entrerà mai nell'if...

come risolvo... la cosa è stana...

<?php session_start();
require_once('../Connections/Araldica.php'); 
$user = $_POST['user'];
$psw = $_POST['psw'];
$user = stripslashes($user);
$psw = stripslashes($psw);
$user = mysql_real_escape_string($user);
$psw = mysql_real_escape_string($psw);
$query = "SELECT * FROM admin WHERE BINARY username='$user' AND password='$psw'" or die('query non riuscita'.mysql_error());
$result = mysql_query($query);
echo $result;
$count = mysql_num_rows($result);
echo $user." ".$psw." ".$count;
if($count==1){    
$_SESSION['SESSION_username'] = $user;    
$_SESSION['SESSION_psw'] = $psw;    
echo "funziona!!!";    
header("location: ../Backoffice/backoffice.php");}
else{    
echo "funziona!!!";    
header("location: ../index.php");}
?>

EDIT
le sto provando tutte ho anche messo la connessione all'interno del file stesso più tosto che richiamarla...
che mi invento???

[clasku]

$query = "SELECT * FROM admin WHERE BINARY username='$user' AND password='$psw'"; 
$result = mysql_query($query) or die('query non riuscita ' . mysql_error()); 

[rare]

mi da errore
query non riuscita no db selected...
e pure la connessione funziona
nell'index ho stampato tutta la tabella

[boots]

mi da errore
query non riuscita no db selected...
e pure la connessione funziona
nell'index ho stampato tutta la tabella

Sicuro di selezionare il db ?

[clasku]

nell'index
ma questo script non è l'index
riapri la connessione e vedi se va

[rare]

ma la connessione è aperta...
require_once('../Connections/Araldica.php');

e comunque sul locale funziona è il remoto che da problemi...

[rare]

si
Araldica.php

<?php
# FileName="Connection_php_mysql.htm"
# Type="MYSQL"
# HTTP="true"
$hostname_Araldica = "localhost";
$database_Araldica = "araldica";
$username_Araldica = "root";
$password_Araldica = "";

$Araldica = mysql_pconnect($hostname_Araldica, $username_Araldica, $password_Araldica) or trigger_error(mysql_error(),E_USER_ERROR); ?>

davvero è una cosa straziante

[tampertools]

Sicuro di selezionare il db ?

No

Comunque usa mysqli o PDO, non mysql che è deprecata