0

actualmente estoy realizando un sistema de administración de alumnos para una institución de educación media superior. Anteriormente utilizaba DreamWeaver CS6 para proyectos escolares y utilizaba la API de MySQL para realizar conexiones a las DB´s sin embargo en esta ocasión busco más seguridad pues el sistema almacenará información importante de los alumnos, es por eso que pienso utilizar MySQLi, pero he ahí el problema que no DreamWeaver no soporta MySQLi. Estoy realizando un sistema de logeo con el siguiente codigo, sin embargo no logro conseguirlo, alguien podría ayudarme?

login.php

<div class="container">
   <h1 class="text-center">Ingresar al sistema</h1>
   <hr>
      <div class="panel panel-primary">
  <div class="panel-heading">
    <section class="text-center">
        <h1 class="panel-title">Proporciona tu nombre de usuario y contraseña para acceder a todas las funciones del sistema.</h1>
        </section>
    </div>
    <div class="panel-body">
   <div class="col-lg-3 col-md-3 col-sm-12 col-xs-12">
       <img class="img-responsive center-block" src="images/icons/users-1.png" width="175" height="175" alt=""/>
   </div>
    <div class="col-lg-3 col-md-3 col-sm-12 col-xs-12 hidden-xs">
       <img class="img-responsive center-block" src="images/icons/login.png" width="175" height="175" alt=""/>
   </div>
   <div class="col-lg-6 col-md-6 col-sm-12 col-xs-12">
   <?php if (isset($_GET['error'])){ echo("Error al iniciar sesión, por favor intentalo de nuevo"); } ?>
       <hr>
    <form action="logging.php" id="login" name="login" method="POST" role="form">
      <label for="username" class="sr-only">Nombre de usuario:</label>
      <div class="input-group form-group">
        <span class="input-group-addon"><i class="glyphicon glyphicon-user"></i></span>
        <input id="username" type="text" class="form-control" name="username" placeholder="Nombre de usuario" size="12">
      </div>
      <label for="password" class="sr-only">Contraseña:</label>
      <div class="input-group form-group">
        <span class="input-group-addon"><i class="glyphicon glyphicon-lock"></i></span>
        <input id="password" type="password" class="form-control" name="password" placeholder="Contraseña" size="12">
      </div>
      <div class="form-group text-center">
        <input name="submit" type="submit" class="btn btn-lg btn-success" id="ingresar" value="Ingresar">
      </div>
    </form>
    </div>
  </div>
  </div>
</div>

logging.php

<?php
if (isset($_POST['username']) && isset($_POST['password'])){
    require_once("Connections/conexion.php");

    $loginNombre = $_POST['username'];
    $loginPassword = $_POST['password'];

    $consulta = "SELECT * FROM perfil WHERE username='$loginNombre' AND password='$loginPassword';";

    if($resultado = $mysqli->query($consulta)){
        while ($row = $resultado->fetch_array()){
            $userok = $row["usuario"];
            $passok = $row["password"];
        }
        $resultado->close();
    }
    $mysqli->close();

    if(isset($loginNombre) && isset($loginPassword)){
        if($loginNombre == $userok && $loginPassword == $passok){
            session_start();
            $_SESSION['logged'] = TRUE;
            header("Location: perfil.php");
        }

        else {
            header("Location: login.php?error=login");
        }
    }
}

else {
    header("Location: index.php");
}
?>

conexion.php

<?php

//Iniciar la conexion
$mysqli = new MySQLi('localhost', 'root', 'Lauren10110love', 'stacatalina');
if ($mysqli->connect_errno){
    echo("Error debido a ".$mysqli->connect_errno.' - '.$mysqli->connect_error.'\n');
}
return($mysqli);
?>

Estoy utilizando tres archivos; el primero con el formulario de login, el segundo para poder realizar la comprobación del usuario y el último es la conexión a la base de datos. Espero puedan ayudarme, ya que no encuentro donde la estoy regando :( De antemano gracias :) P.D. Si pudieran darme unos consejos para poder evitar inyecciones SQL, se los agradecería mucho :3

10
  • ¿Que error te da exactamente?
    – Lithorell
    el 11 jul. 2017 a las 6:26
  • Cierto olvidé explicar eso, el problema aquí es que al querer ingresar al sistema simplemente te regresa al inicio sin iniciar sesión. No inicia la sesión y regresa al index. el 11 jul. 2017 a las 7:02
  • ¿La password de la BBDD esta en claro o cifrada?
    – Lithorell
    el 11 jul. 2017 a las 7:03
  • El password está en claro, tengo pensado cifrarla, pero como ya agregué un admin con una consulta simple desde la consola, de momento estoy utilizandola simple. el 11 jul. 2017 a las 7:06
  • 2
    @Muriano es una pésima práctica decir al OP que es una buena práctica construir consultas vulnerables a la Inyección SQL, más aún si el OP está pidiendo ser orientado al respecto. La instrucción SQL debe ser escrita así: $consulta = "SELECT * FROM perfil WHERE username=? AND password=?;";, luego, se pasan los valores $loginNombre y $loginPassword aparte, evitando de ese modo la inyección de código.
    – A. Cedano
    el 11 jul. 2017 a las 12:56

2 respuestas 2

0

Los errores que he visto así por encima.

logging.php

<?php
if (isset($_POST['username']) && isset($_POST['password'])){
    require_once("Connections/conexion.php");

    $loginNombre = $_POST['username'];
    $loginPassword = $_POST['password'];

     // añadimos limit 1, solo necesitamos un resultado
    $consulta = "SELECT * FROM perfil WHERE username='$loginNombre' AND password='$loginPassword' LIMIT 1;";

    if($resultado = $mysqli->query($consulta)){
    // el while es innecesario solo necesitas una fila
        //while ($row = $resultado->fetch_array()){
          // solo necesitamos el Array asociativo MYSQLI_ASSOC
            $row = $resultado->fetch_array(MYSQLI_ASSOC)
            $userok = $row["usuario"];
            $passok = $row["password"];
        //}
        // El resultado no se cierra, se libera con free();
        //$resultado->close();
        $resultado->free();
    }
    // Creamos un else por si falla la consulta saber que esta pasando
    else {
        printf("Error: %s\n", $mysqli->error);
        $mysqli->close();
        // Mostrar la consulta solo en desarrollo 
        echo $consulta;
        exit;
    }
    $mysqli->close();

    if(isset($loginNombre) && isset($loginPassword)){
        if($loginNombre == $userok && $loginPassword == $passok){
            session_start();
            $_SESSION['logged'] = TRUE;
            header("Location: perfil.php");
        }

        else {
            header("Location: login.php?error=login");
        }
    }
}

else {
    header("Location: index.php");
}
?>

EDIT

-------

Pongamos un ejemplo completo previniendo la inyección sql:

<?php
//Iniciar la conexion
$mysqli = new MySQLi('localhost', 'root', 'Lauren10110love', 'stacatalina');
if ($mysqli->connect_errno){
    // Los errores solo se deberian mostrar en desarrollo, nunca en producion
    echo("Error debido a ".$mysqli->connect_errno.' - '.$mysqli->connect_error.'\n');
    // en produccion deberiamos mostrar un mensaje similar a esto.
    echo "Lo sentimos, este sitio web está experimentando problemas.";
    // finalizamos el script si falla la conexión
    exit;
}

// Es importante indicar la codificacion de caracteres para la conexión
// se recomienda utf8
if (!$mysqli->set_charset("utf8")) {
    // desarrollo
    printf("Error cargando el conjunto de caracteres utf8: %s\n", mysqli_error($link));
    // produccion
    echo "Lo sentimos, este sitio web está experimentando problemas.";    
    exit;
}

// no es necesario este return
// return($mysqli);


// Ya que el archivo solo contiene PHP es recomendable no utilizar la etiqueta de cierre 
/* ?> */ 

Podemos prevenir la inyeccion SQL de 2 formas principalmente

Escapando los datos a insertar o utilizando sentencias preparadas, cada una de ellas tiene sus ventaja e inconvenientes, aun que ambas son igual de válidas, para la mayoria de los casos es recomendable utilizar sentencias preparadas.

Escapar los datos con real_escape_string

<?php
// se asume conexion en $mysqli
$loginNombre = $mysqli->real_escape_string($_POST['username']);
$loginPassword = $mysqli->real_escape_string($_POST['password']);

// es importante emvolver los valores que sean cadenas con comillas 
$consulta = "SELECT username, password FROM perfil WHERE username='$loginNombre' AND password='$loginPassword' LIMIT 1;";

Para darte un ejemplo de Sentencias preparadas utilizare tu código:

<?php
$user = $_POST['username'];
$pass = $_POST['password'];


// prefiero la palabra AND a &&, para mi es mas legible y programamos para personas no para maquinas, pero es cuestion de gustos
if (isset($user) AND isset($pass))
{
    require_once("Connections/conexion.php");

    //creamos la consulta con ? donde van ha ir los parametros
    $consulta = "SELECT username, password FROM perfil WHERE username= ? AND password= ? LIMIT 1;";

    // En lugar de hacer la consulta directa, la preparamos
    if($stmt = $mysqli->prepare($sql))
    {
        // ligamos los datos a la consulta con
        // bind_param ( string $tipos , mixed &$var1 [, mixed &$... ] )
        $stmt->bind_param('ss', $user, $pass);
        // ejecutamos la consulta, podemos ejecutarlo tantas veces como necesitemos
        $stmt->execute();
        // Recuperamos los resutados
        $resultado = $stmt->get_result();
        // le indicamos que los quemos como un array asociativo
        $row = $resultado->fetch_assoc()
        //Asignamos a variables
        $loginNombre = $row['username'];
        $loginPassword = $row['password'];
        // Liberamos el resultado
        $resultado->free_result(); 
    }
    else 
    {
        // ya lo explique antes
        printf("Error: %s\n", $mysqli->error);
        $mysqli->close();
        echo $consulta;
        exit;
    }
    // cerramos la conexion si no la necesitamos mas
    $mysqli->close();

    if(isset($loginNombre) AND isset($loginPassword))
    {
        if($loginNombre == $userok AND $loginPassword == $passok)
        {
            session_start();
            $_SESSION['logged'] = TRUE;
            header("Location: perfil.php");
        }
        else
        {
            header("Location: login.php?error=login");
        }
    }
}
else
{
    header("Location: index.php");
}

Para consultas SELECT que solo se ejecutan una vez, las sentencias preparadas seran mas lentas que las normales. Donde mas se agradece este tipo de consultas es cuando insertarmos multiples registros, pues preparamos una vez ejecutamos todas las que necesitemos.

Una cosa tambien recomendable sería validar los datos de lado servidor.

5
  • También se evita la Inyección evitando propagar código vulnerable, como el que indicas en la respuesta: $consulta = "SELECT * FROM perfil WHERE username='$loginNombre' AND password='$loginPassword' LIMIT 1;"; Escribir código así debería estar prohibido para un usuario de experiencia.
    – A. Cedano
    el 11 jul. 2017 a las 12:59
  • El chico aún está en desarrollo y yo desde el móvil. No pretendo dar una respuesta exhaustiva a su segunda cuestión, solo pretendo orientarle en aquello que he visto mal. Quizás es solo pereza mía. En cualquier caso te doy la razón. Luego con un poco más de paciencia. Intentare facilitarle un código más completo.
    – Xerif
    el 11 jul. 2017 a las 13:08
  • Muchas gracias @Xerif , si se me estaban pasando varios errores que ya me explicas. Ahora bien, podrían ayudarme con lo que comentan tú y A. Cedano ? el 11 jul. 2017 a las 17:58
  • Siento haber podido contestar antes, estuve trabajando, cuando llegue a casa trato de darte una respuesta más completa .
    – Xerif
    el 11 jul. 2017 a las 19:55
  • Ya añadí un ejemplo mas completo. espero se entienda
    – Xerif
    el 11 jul. 2017 a las 21:48
-1

El string $consulta estaba mal construido, prueba así:

$consulta = "SELECT * FROM perfil WHERE username='" . $loginNombre. "' AND password='" . $loginPassword ."';";

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.