如何在SQL中登录而不散列密码？[副本]

Question

下午好我自己在一个安全项目中工作。我在PHP中检查登录代码时遇到问题。我不知道为什么，但当我尝试与我创建的“数据库中的密码为纯文本”的用户登录时，它会说密码不正确。

其思想不是将密码转换为散列。我知道这是一个很大的安全风险，但显然我不会将其用于专业用途。我的目的是做安全测试。

check.php：

        <?php
    include 'conn.php'; 

    $conn = mysqli_connect($dbhost, $dbuser, $dbpass, $dbname);
    // Check connection
    if (!$conn) {
        die("Connection failed: " . mysqli_connect_error());
    }

    $name = $_POST['name']; 
    $password = $_POST['password'];

    $result = mysqli_query($conn, "SELECT Name, Password FROM users WHERE Name = '$name'");

    $row = mysqli_fetch_assoc($result);

    if (password_verify($_POST['password'], $row['Password'])) {    

        $_SESSION['loggedin'] = true;
        $_SESSION['name'] = $row['Name'];
        $_SESSION['start'] = time();
        $_SESSION['expire'] = $_SESSION['start'] + (1 * 60) ;                       

        echo "<div class='alert alert-success' role='alert'><strong>Welcome!</strong> $row[Name]            
        <p><a href='edit-profile.php'>Edit Profile</a></p>  
        <p><a href='logout.php'>Logout</a></p></div>";  

    } else {
        echo "<div class='alert alert-danger' role='alert'>Name or Password are incorrects!
        <p><a href='login.html'><strong>Please try again!</strong></a></p></div>";          
    }   
?>

编辑我已经纠正了错误，但我仍然有问题的日志，出现一个menssage："姓名或密码不正确！".在我的数据库中，我有4列没有散列的信息。ID，姓名， Email，密码

Answer 1

在您的情况下，您不能使用password\u verify（），因为它只用于散列密码（通过password\u hash（））

您必须像检查密码一样检查密码

if ($password == $row['password']) 

Answer 2

您已经向我们展示了读取密码（或未能读取密码）的代码。但是您已经向我们展示了填充密码的代码，也没有建议您是否检查了您期望的数据。

虽然我知道您还不想走密码哈希路线，但您确实应该学习一点关于网络应用程序安全的知识。您将能够通过提供用户名为

 any' OR '1'='1

使用google for SQL注入。

代码中没有错误检查/处理。对MySQLi的每次调用都应该有一个与之关联的错误处理程序。

您可以通过将生成的SQL写回浏览器，并通过mysql命令行客户端或PHPMyAdmin运行它来检查它是否返回任何数据，从而开始解决问题。您还应该在代码中检查查询是否返回了零条或一条记录（并相应地处理每种情况）。

如果你没有学会调试，你就没有学会编程。

    $_SESSION['loggedin'] = true;
    $_SESSION['name'] = $row['Name'];
    $_SESSION['start'] = time();
    $_SESSION['expire'] = $_SESSION['start'] + (1 * 60) ;

只有“name”变量应设置为会话变量。

Answer 3

如果数据库中的密码以纯文本形式存储，那么问题在于password\u verify（）-如手册中所述-期望它的第二个参数为（我引用）：

由password_hash（）创建的哈希。

函数将尝试以假定对$row变量进行哈希处理的相同方式对$\u POST变量进行哈希处理，然后将哈希后的$\u POST变量与$row变量进行比较。显然，这永远不会导致有效的匹配，因为$row变量不是有效的散列。

这个函数不是对给定字符串进行简单的直接比较。如果你想这样做，只需写if（$_POST['密码'] === $行['密码']），而不需要额外的功能！