[PHP] Funzione per autenticazione

[cionci]

Volevo condividere con voi questa funzione per l'autenticazione in PHP...

Innanzi tutto ecco quello che volevo garantire era una protezione dalla forza bruta...

Questo sono le due tabelle necessarie...

#
# Table structure for table 'admins'
#

DROP TABLE IF EXISTS admins;
CREATE TABLE admins (
  Username varchar(30) NOT NULL default '',
  Password varchar(255) NOT NULL default '',
  PRIMARY KEY  (Username)
) TYPE=MyISAM;



#
# Table structure for table 'loginlog'
#

DROP TABLE IF EXISTS loginlog;
CREATE TABLE loginlog (
  IP varchar(30) NOT NULL default '',
  timestamp datetime NOT NULL default '0000-00-00 00:00:00',
  last_result tinyint(1) unsigned NOT NULL default '0',
  banned tinyint(1) unsigned NOT NULL default '0',
  total_retrys int(10) unsigned NOT NULL default '1',
  retrys int(10) unsigned NOT NULL default '1',
  PRIMARY KEY  (IP)
) TYPE=MyISAM COMMENT='Tentativi login';

I file di utilità:

Codice PHP:

<?php
function db_open($dbhost, $dbuser, $dbpass, $dbname, &$conn)
{ 
    $conn=mysql_connect($dbhost, $dbuser, $dbpass)  
        or die("Errore nella connessione al database"); 
    mysql_select_db($dbname, $conn) 
        or die("Impossibile selezionare il database $dbname"); 
} 

function do_query($query, &$results) 
{ 
    $results = mysql_query($query) 
        or die( "Errore: $query \n" .mysql_error()); 
} 

function lock_tables($tables)  //NOMETABELLA [WRITE|READ] separati da virgola 
{ 
    $tables = "LOCK TABLES ".$tables.";"; 
    do_query($tables, $res); 
} 

function unlock_tables() 
{ 
    do_query("UNLOCK TABLES;", $res); 
}
?>

I dati di configurazione della funzione di login:

Codice PHP:

<?php
//tabella per il logging dei tentivi
$logtable = "loginlog"; 
//tabella che contiene username e password
$authtable = "admins";
//intervallo di controllo sui login falliti
$fail_interval = "20 MINUTE";
//intervallo di controllo sui login corretti
$success_interval = "2 MINUTE"; 
//non si possono fare più di fail_num login 
//errati nell'intervallo fail_interval
$fail_num = 10;  
//non si possono fare più di success_num
//login corretti nell'intervallo success_interval
$success_num = 10; 
//comunque non si possono fare più di total_num
//tentativi nell'intervallo fail_interval
$total_num = 30; 
?>

Ed ecco la funzione:

Codice PHP:

<?php
function verify_user($username, $password)
{
    require("login_config.inc.php"); //contiene la definizione dei dati per configurazione del login
    require("dbaccess.inc.php"); //contiene i dati per la connessione
    require("mysql.inc.php");
    require("main.inc.php"); //contiene la definizione di check_param (contro l'SQL injection)
    if(!check_param($username) || !check_param($password))
        return 0;
    db_open($dbhost, $dbusername, $dbpassword, $dbname, $conn);
    lock_tables("$authtable READ");
    do_query("SELECT Username FROM $authtable WHERE Username = '$username' "
            ."AND Password = md5('$password');", $res);
    $row = mysql_fetch_assoc($res);
    $success = ($row["Username"] == $username && mysql_num_rows($res) > 0) ? 1 : 0;
    mysql_free_result($res);
    unlock_tables();
    lock_tables("$logtable WRITE");
    do_query("DELETE FROM $logtable WHERE (NOW() - "
            ."DATE_ADD(Timestamp, INTERVAL $fail_interval)) > 0;", $res);
    do_query("SELECT *, (NOW() - DATE_ADD(timestamp, INTERVAL $fail_interval)) "
            ."As fail_flag, (NOW() - DATE_ADD(timestamp, INTERVAL $success_interval)) "
            ."As success_flag FROM $logtable WHERE IP = '"
            .$_SERVER["REMOTE_ADDR"]."';", $res);
    $row = mysql_fetch_assoc($res);
    mysql_free_result($res);
    if($row["IP"] != $_SERVER["REMOTE_ADDR"])
        //nuovo IP
        do_query("INSERT INTO $logtable (IP, last_result, banned, timestamp) "
                ."VALUES('".$_SERVER["REMOTE_ADDR"]."', $success, 0, NOW());", $res);
    else if($row["banned"])
    {
        //ip bannato
        $success = 0;
        do_query("UPDATE $logtable SET timestamp = NOW() WHERE IP = '"
                .$_SERVER["REMOTE_ADDR"]."';", $res);
    }
    else
    {
        //ip non bannato, ma presente sulla tabella
        $banned = 0;
        $time = "'".$row["timestamp"]."'";
        $last_result = $success;
        if($row["fail_flag"] < 0)
            $total_retrys = $row["total_retrys"] + 1;
        else
            $total_retrys = 1;
        if($success && $row["last_result"] == 1 && $row["retrys"] < $success_num
                && $row["success_flag"] < 0)
            //successo con successo precedente
            $retrys = $row["retrys"] + 1;
        else if(!$success && $row["last_result"] == 0 && $row["retrys"] < $fail_num
                 && $row["fail_flag"] < 0)
            //insuccesso con insuccesso precedente
            $retrys = $row["retrys"] + 1;
        else if($success && $row["last_result"] == 1 && $row["retrys"] >= $success_num 
                && $row["success_flag"] < 0)
        {
            //bannaggio di un ip, perchè ha superato il numero di successi
            $banned = 1;
            $retrys = $row["retrys"] + 1;
            $success = 0;
            $time = "NOW()";
        }
        else if(!$success && $row["last_result"] == 0 && $row["retrys"] >= $fail_num 
                && $row["fail_flag"] < 0)
        {
            //bannaggio di un ip, perchè ha superato il numero di insuccessi
            $banned = 1;
            $retrys = $row["retrys"] + 1;
            $success = 0;
            $time = "NOW()";
        }
        else if($row["total_retrys"] >= $total_num && $row["fail_flag"] < 0)
        {
            //bannaggio per aver superato il num. massimo di tentativi
            $banned = 1;
            $retrys = 0;
            $success = 0;
            $time = "NOW()";
        }
        else
        {
            $retrys = 1;
            $time = "NOW()";
        }
        do_query("UPDATE $logtable SET last_result = $last_result, banned = $banned, "
                ."timestamp = $time, retrys = $retrys, total_retrys = $total_retrys "
                ."WHERE IP = '".$_SERVER["REMOTE_ADDR"]."';", $res);
        //a questo punto se $banned è uguale a 1 si potrebbero
        //loggare i ban effettuati su un'altra tabella
    }
    unlock_tables();
    mysql_close($conn);
    return $success;
}
?>

Cosa ne pensate ? Come la migliorereste ?

Ciao

[cionci]

Up

[Fenomeno85]

adesso me la studio questa funzione ma sicuramente sarà una bomba questo script

~§~ Sempre E Solo Lei ~§~

[Fenomeno85]

incomincio a chiederti delle cose:

nei file che includi non capisco le informazioni che ci devo mettere.
Forse sarà una domanda stupida ma che cosa è il check param???



~§~ Sempre E Solo Lei ~§~

[Fenomeno85]

ok tutto sistemato tranne che non so che devo fare nel file check_param, ho provato a vedere anche su php.net ma nisba.

Come funzione la trovo veramente fatta bene ... pensando che avrei solo fatto un controllo sull'utente e sulla pass.

~§~ Sempre E Solo Lei ~§~

[VICIUS]

check_param è una funzione definita in un'altro file. Da quello che ho capito cionci la usa per controllare che l'utente non tenti di fare alcuni giochetti strani con i parametri passati tramite form.

Sono curioso di veder questa funzione. Cosa controlli di solito in questi casi ?

Per ora l'unica cosa che mi viene in mente e l'utilizzo di qualche assert qua e la al posto di un qualche if.

ciao

[cionci]

check_param per ora è molto semplice...non ci ho ancora pensato molto...

Codice PHP:

<?php
function check_param($param)
{
    if(!isset($param) || stristr($param, ";") || stristr($param, "SELECT") 
    || stristr($param, "UPDATE") || stristr($param, "INSERT")
    || stristr($param, "DELETE") || stristr($param, "CREATE"))
        return FALSE;
    return TRUE;
}
?>

[cionci]

Originariamente inviato da VICIUS
Per ora l'unica cosa che mi viene in mente e l'utilizzo di qualche assert qua e la al posto di un qualche if.

Dove li metteresti ?

[cionci]

Originariamente inviato da Fenomeno85
nei file che includi non capisco le informazioni che ci devo mettere.

In dbaccess.inc.php devi definire queste variabili:

$dbhost
$dbusername
$dbpassword
$dbname

[Fenomeno85]

Originariamente inviato da cionci
In dbaccess.inc.php devi definire queste variabili:

$dbhost
$dbusername
$dbpassword
$dbname

scusa ma username e pass non sono passate??

~§~ Sempre E Solo Lei ~§~

[cionci]

No...$dbusername e $dbpassword, da mettere nel file dbaccess.inc.php, sono i dati per accedere al database... $username e $password sono quelli da verificare...

[Fenomeno85]

scusa ma io non devo collegarmi con quel utente al db???

~§~ Sempre E Solo Lei ~§~

[Fenomeno85]

ok ho capito quello che si deve fare con l'autenticazione ... mi stavo incasinando pensando che si doveva modificare la tabella dei grant

~§~ Sempre E Solo Lei ~§~

[cionci]

Originariamente inviato da Fenomeno85
ok ho capito quello che si deve fare con l'autenticazione ... mi stavo incasinando pensando che si doveva modificare la tabella dei grant

~§~ Sempre E Solo Lei ~§~

Quella te la metti come ti pare a te...è per quello che non ho specificato il file dbaccess.inc.php...infatti contiene informazioni relativi alla connessione con il db che cambiano da server a server...

Avete capito come funziona ?

[VICIUS]

Originariamente inviato da cionci
Dove li metteresti ?

Ci ho dato un'occhiata piu approfondita e non mi pare ci sia bisogno di qualche assert.
Il mio deve essere stato un riflesso condizionato visto che di solito metto delle assert un po ovunque

ciao

[Fenomeno85]

ma perchè success è sempre 0??? se provo con un utente inserito o meno nella tabella admin.

~§~ Sempre E Solo Lei ~§~

[Fenomeno85]

uppete

~§~ Sempre E Solo Lei ~§~

[cionci]

A me success non è sempre 0... Prova a fare un po' di debug...

[Fenomeno85]

bo non so il perchè non vuole funzionare

comunque forse può essere utile ma aggiungerei nella funzione verify_user il controllo per l'eliminazione degli spazi facendo

$username = trim ($username);
$password = trim ($password);

adesso riprovo a controllare se non ho sbagliato qualcosa

~§~ Sempre E Solo Lei ~§~

[cionci]

Sì...ma non in questo modo...io farei così.. Se ci sono spazi allora il login è sbagliato...

if($username != trim ($username) || $password != trim ($password))
return FALSE;