Skip to main content
Recompensa finalizada con 200 de reputación otorgada por May
se añadieron 390 caracteres en el cuerpo
Origen Enlace
juliocpiro
  • 2k
  • 1
  • 9
  • 16
id   username   email                    password                   lastname  active  logindatetime
1     Hola      hola@    4e46dc0969e6621f2d61d2228e3cd91b75cd9edc     Hola      1  Hola      1 NULL

"4e46dc0969e6621f2d61d2228e3cd91b75cd9edc" es "Hola" en sha1, al loguerase solo escribir "Hola", PHP lo convertira en sha1 para la comparacion con BD.

Cada vez que se agregue un usuario usar la funcion sha1, ejemplo:

insert into users (id, username, email, password, lastname, NULLactive) values (2,'juliocpiro',sha1('12345'),'jcsar',1);
<?php
session_start();
$message="";
$captcha = true;
//indicador usuario logueado
$logueado = false;
//Nro intentos permitidos para IP
$intentosIP = 8;
//Nro intentos permitidos para Usuario
$intentosU = 5;

if(count($_POST)>0 && isset($_POST["vcode"]) && $_POST["vcode"]!=$_SESSION["vcode"]) {
    $captcha = false;
    $message = "Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.";
}else{
    unset($_SESSION['id_user']);
}

$ip = $_SERVER['REMOTE_ADDR'];

$con =  @new mysqli('localhost', 'root', '', 'systemuser');
//Bloqueamos la ip por un día
$result = mysqli_query($con,"SELECT * FROM login_attempts WHERE ip='$ip' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 1 DAY ) AND NOW()");
$row  = mysqli_fetch_assoc($result);
//Obtenemos datos para comprar intentos y para resetear intentos por su ultimo fecha.
$failed_login_attempt=0;
if($row!=null){
    $failed_login_attempt = mysqli_real_escape_string($con,$row['attempts']);
}
//Liberamos memoria.
mysqli_free_result($result);

if(count($_POST)>0 && $captcha == true) {
    $username = mysqli_real_escape_string($con, $_POST["username"]);
    $password = mysqli_real_escape_string($con, $_POST["password"]);
    $username = htmlentities($username);
    $password = htmlentities($password);
    //$save_passw = sha1($password);
    $save_passw = $password;

    //Buscar usuario ingresado - INICIO
    $sql = "SELECT *, CASE WHEN logindatetime BETWEEN DATE_SUB( NOW() , INTERVAL 2 MINUTE ) AND NOW() THEN '1' ELSE '0' END as logueado FROM users where username='$username' AND active='1' ";
    $query = mysqli_query($con, $sql);
    $rowU  = mysqli_fetch_assoc($query);
    $UsernamaDB = mysqli_real_escape_string($con, $rowU["username"]);
    $passwordDB = mysqli_real_escape_string($con, $rowU["password"]);
    //Buscar usuario ingresado - FIN

    //registra intentos de login segun IP - INICIO
    //////////////////////////////////////////////
    if($row==null){
        //Si es su primer intento fallido, incluimos el primer registro en la BD
        $con->query("INSERT INTO login_attempts (ip,attempts,datetime) VALUES ('$ip', 1, NOW())");
    }else{
        //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado
        if($row['attempts']<$intentosIP){
            $contador = $row['attempts'] + 1;
            $con->query("UPDATE login_attempts SET attempts='$contador', datetime=NOW() WHERE ip = '$ip'");
        }       
    }
    //registra intentos de login segun IP - FIN

    //VALIDANDO DOBLE LOGUEO
    if($save_passw == $passwordDB && $username == $UsernamaDB && $rowU['logindatetime']!=null && $rowU['logueado']=='1') {
        $logueado = true;
    }else{  
        //registra intentos segun usuario - INICIO
        ////////////////////////////////////////
        $attempU = 0;
        if($UsernamaDB!= null && $UsernamaDB!=''){
            $id_user = $rowU['id'];
            $query = mysqli_query($con, "SELECT * FROM fail_attempt WHERE id_user ='$id_user' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 15 MINUTE ) AND NOW() ");
            $rowFA  = mysqli_fetch_assoc($query);
            if($rowFA==null){
                $con->query("INSERT INTO fail_attempt (id_user, attempt, ip, datetime) VALUES ('$id_user', 1, '$ip', NOW())");
            }else{
                $attempU =$rowFA['attempt']+1;
                //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo de 15 minutos bloqueado
                if($rowFA['attempt']<$intentosU){
                    $con->query("UPDATE fail_attempt SET attempt='$attempU', ip = '$ip', datetime=NOW() where id_user ='$id_user' ");
                }
            }
        }
        //registra intentos segun usuario - FIN     
    }

    //validando Usuario y Contraseña - INICIO
    $username = $_POST['username']; $password = $_POST['password'];
    if (empty($username) || empty($password)) {
        $message = "Es necesario introducir un nombre de usuario y contraseña";
    } elseif($failed_login_attempt>=$intentosIP){
        $message = "'IP' bloqueada por 1 dia, contando desde las ".$row['datetime'];
    } elseif($logueado){
        $message = "'Usuario' ya se encuentra logueado.";
    } elseif($attempU>=$intentosU){
        $message = "'Usuario' bloqueado por 15 minutos, contando desde las ".$rowFA['datetime'];
    } elseif ($username != $UsernamaDB) {
        $message = "El 'Usuario' que has introducido no coincide. ";
    } elseif ($save_passw != $passwordDB) {
        $message = "Tu 'Contraseña' introducido no coincide. ";
    } elseif($save_passw == $passwordDB && $username == $UsernamaDB) {
        $_SESSION["id_user"] = $rowU['id'];
        $con->query("DELETE FROM login_attempts WHERE ip = '$ip'");
        $con->query("DELETE FROM fail_attempt WHERE id_user ='$id_user'");
    }
    //validando Usuario y Contraseña - FIN

    if(isset($_SESSION["id_user"])) {
        header("Location:http://localhost/login/index.php");
    }
}
?>
<h1><?php if($message!="") { echo $message; } ?></h1>
<form name="frmUser" method="post" action="">
  <input type="text" name="username" placeholder="Usuario">
  <input type="password" name="password" placeholder="Contraseña">
  <!-- captcha-->
  <?php if ( (isset($failed_login_attempt) && $failed_login_attempt >= 1) || (count($_POST)>0) ) { ?>
    <img src="captcha.php" id="phoca-captcha"/>
    <input name="vcode" type="text" placeholder="Codigo captcha">
   <?php } ?>
  <!-- fin-->
  <input type="submit" value="Iniciar sesión" id="button-login">
</form> 
id   username   email   password   lastname  active  logindatetime
1     Hola      hola@    Hola        Hola      1         NULL
<?php
session_start();
$message="";
$captcha = true;
//indicador usuario logueado
$logueado = false;
//Nro intentos permitidos para IP
$intentosIP = 8;
//Nro intentos permitidos para Usuario
$intentosU = 5;

if(count($_POST)>0 && isset($_POST["vcode"]) && $_POST["vcode"]!=$_SESSION["vcode"]) {
    $captcha = false;
    $message = "Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.";
}else{
    unset($_SESSION['id_user']);
}

$ip = $_SERVER['REMOTE_ADDR'];

$con =  @new mysqli('localhost', 'root', '', 'systemuser');
//Bloqueamos la ip por un día
$result = mysqli_query($con,"SELECT * FROM login_attempts WHERE ip='$ip' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 1 DAY ) AND NOW()");
$row  = mysqli_fetch_assoc($result);
//Obtenemos datos para comprar intentos y para resetear intentos por su ultimo fecha.
$failed_login_attempt=0;
if($row!=null){
    $failed_login_attempt = mysqli_real_escape_string($con,$row['attempts']);
}
//Liberamos memoria.
mysqli_free_result($result);

if(count($_POST)>0 && $captcha == true) {
    $username = mysqli_real_escape_string($con, $_POST["username"]);
    $password = mysqli_real_escape_string($con, $_POST["password"]);
    $username = htmlentities($username);
    $password = htmlentities($password);
    //$save_passw = sha1($password);
    $save_passw = $password;

    //Buscar usuario ingresado - INICIO
    $sql = "SELECT *, CASE WHEN logindatetime BETWEEN DATE_SUB( NOW() , INTERVAL 2 MINUTE ) AND NOW() THEN '1' ELSE '0' END as logueado FROM users where username='$username' AND active='1' ";
    $query = mysqli_query($con, $sql);
    $rowU  = mysqli_fetch_assoc($query);
    $UsernamaDB = mysqli_real_escape_string($con, $rowU["username"]);
    $passwordDB = mysqli_real_escape_string($con, $rowU["password"]);
    //Buscar usuario ingresado - FIN

    //registra intentos de login segun IP - INICIO
    //////////////////////////////////////////////
    if($row==null){
        //Si es su primer intento fallido, incluimos el primer registro en la BD
        $con->query("INSERT INTO login_attempts (ip,attempts,datetime) VALUES ('$ip', 1, NOW())");
    }else{
        //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado
        if($row['attempts']<$intentosIP){
            $contador = $row['attempts'] + 1;
            $con->query("UPDATE login_attempts SET attempts='$contador', datetime=NOW() WHERE ip = '$ip'");
        }       
    }
    //registra intentos de login segun IP - FIN

    //VALIDANDO DOBLE LOGUEO
    if($save_passw == $passwordDB && $username == $UsernamaDB && $rowU['logindatetime']!=null && $rowU['logueado']=='1') {
        $logueado = true;
    }else{  
        //registra intentos segun usuario - INICIO
        ////////////////////////////////////////
        $attempU = 0;
        if($UsernamaDB!= null && $UsernamaDB!=''){
            $id_user = $rowU['id'];
            $query = mysqli_query($con, "SELECT * FROM fail_attempt WHERE id_user ='$id_user' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 15 MINUTE ) AND NOW() ");
            $rowFA  = mysqli_fetch_assoc($query);
            if($rowFA==null){
                $con->query("INSERT INTO fail_attempt (id_user, attempt, ip, datetime) VALUES ('$id_user', 1, '$ip', NOW())");
            }else{
                $attempU =$rowFA['attempt']+1;
                //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo de 15 minutos bloqueado
                if($rowFA['attempt']<$intentosU){
                    $con->query("UPDATE fail_attempt SET attempt='$attempU', ip = '$ip', datetime=NOW() where id_user ='$id_user' ");
                }
            }
        }
        //registra intentos segun usuario - FIN     
    }

    //validando Usuario y Contraseña - INICIO
    $username = $_POST['username']; $password = $_POST['password'];
    if (empty($username) || empty($password)) {
        $message = "Es necesario introducir un nombre de usuario y contraseña";
    } elseif($failed_login_attempt>=$intentosIP){
        $message = "'IP' bloqueada por 1 dia, contando desde las ".$row['datetime'];
    } elseif($logueado){
        $message = "'Usuario' ya se encuentra logueado.";
    } elseif($attempU>=$intentosU){
        $message = "'Usuario' bloqueado por 15 minutos, contando desde las ".$rowFA['datetime'];
    } elseif ($username != $UsernamaDB) {
        $message = "El 'Usuario' que has introducido no coincide. ";
    } elseif ($save_passw != $passwordDB) {
        $message = "Tu 'Contraseña' introducido no coincide. ";
    } elseif($save_passw == $passwordDB && $username == $UsernamaDB) {
        $_SESSION["id_user"] = $rowU['id'];
        $con->query("DELETE FROM login_attempts WHERE ip = '$ip'");
        $con->query("DELETE FROM fail_attempt WHERE id_user ='$id_user'");
    }
    //validando Usuario y Contraseña - FIN

    if(isset($_SESSION["id_user"])) {
        header("Location:http://localhost/login/index.php");
    }
}
?>
<h1><?php if($message!="") { echo $message; } ?></h1>
<form name="frmUser" method="post" action="">
  <input type="text" name="username" placeholder="Usuario">
  <input type="password" name="password" placeholder="Contraseña">
  <!-- captcha-->
  <?php if ( (isset($failed_login_attempt) && $failed_login_attempt >= 1) || (count($_POST)>0) ) { ?>
    <img src="captcha.php" id="phoca-captcha"/>
    <input name="vcode" type="text" placeholder="Codigo captcha">
   <?php } ?>
  <!-- fin-->
  <input type="submit" value="Iniciar sesión" id="button-login">
</form> 
id   username   email                    password                   lastname  active  logindatetime
1     Hola      hola@    4e46dc0969e6621f2d61d2228e3cd91b75cd9edc     Hola      1         NULL

"4e46dc0969e6621f2d61d2228e3cd91b75cd9edc" es "Hola" en sha1, al loguerase solo escribir "Hola", PHP lo convertira en sha1 para la comparacion con BD.

Cada vez que se agregue un usuario usar la funcion sha1, ejemplo:

insert into users (id, username, email, password, lastname, active) values (2,'juliocpiro',sha1('12345'),'jcsar',1);
<?php
session_start();
$message="";
$captcha = true;
//indicador usuario logueado
$logueado = false;
//Nro intentos permitidos para IP
$intentosIP = 8;
//Nro intentos permitidos para Usuario
$intentosU = 5;

if(count($_POST)>0 && isset($_POST["vcode"]) && $_POST["vcode"]!=$_SESSION["vcode"]) {
    $captcha = false;
    $message = "Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.";
}else{
    unset($_SESSION['id_user']);
}

$ip = $_SERVER['REMOTE_ADDR'];

$con =  @new mysqli('localhost', 'root', '', 'systemuser');
//Bloqueamos la ip por un día
$result = mysqli_query($con,"SELECT * FROM login_attempts WHERE ip='$ip' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 1 DAY ) AND NOW()");
$row  = mysqli_fetch_assoc($result);
//Obtenemos datos para comprar intentos y para resetear intentos por su ultimo fecha.
$failed_login_attempt=0;
if($row!=null){
    $failed_login_attempt = mysqli_real_escape_string($con,$row['attempts']);
}
//Liberamos memoria.
mysqli_free_result($result);

if(count($_POST)>0 && $captcha == true) {
    $username = mysqli_real_escape_string($con, $_POST["username"]);
    $password = mysqli_real_escape_string($con, $_POST["password"]);
    $username = htmlentities($username);
    $password = htmlentities($password);
    $save_passw = sha1($password);

    //Buscar usuario ingresado - INICIO
    $sql = "SELECT *, CASE WHEN logindatetime BETWEEN DATE_SUB( NOW() , INTERVAL 2 MINUTE ) AND NOW() THEN '1' ELSE '0' END as logueado FROM users where username='$username' AND active='1' ";
    $query = mysqli_query($con, $sql);
    $rowU  = mysqli_fetch_assoc($query);
    $UsernamaDB = mysqli_real_escape_string($con, $rowU["username"]);
    $passwordDB = mysqli_real_escape_string($con, $rowU["password"]);
    //Buscar usuario ingresado - FIN

    //registra intentos de login segun IP - INICIO
    //////////////////////////////////////////////
    if($row==null){
        //Si es su primer intento fallido, incluimos el primer registro en la BD
        $con->query("INSERT INTO login_attempts (ip,attempts,datetime) VALUES ('$ip', 1, NOW())");
    }else{
        //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado
        if($row['attempts']<$intentosIP){
            $contador = $row['attempts'] + 1;
            $con->query("UPDATE login_attempts SET attempts='$contador', datetime=NOW() WHERE ip = '$ip'");
        }       
    }
    //registra intentos de login segun IP - FIN

    //VALIDANDO DOBLE LOGUEO
    if($save_passw == $passwordDB && $username == $UsernamaDB && $rowU['logindatetime']!=null && $rowU['logueado']=='1') {
        $logueado = true;
    }else{  
        //registra intentos segun usuario - INICIO
        ////////////////////////////////////////
        $attempU = 0;
        if($UsernamaDB!= null && $UsernamaDB!=''){
            $id_user = $rowU['id'];
            $query = mysqli_query($con, "SELECT * FROM fail_attempt WHERE id_user ='$id_user' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 15 MINUTE ) AND NOW() ");
            $rowFA  = mysqli_fetch_assoc($query);
            if($rowFA==null){
                $con->query("INSERT INTO fail_attempt (id_user, attempt, ip, datetime) VALUES ('$id_user', 1, '$ip', NOW())");
            }else{
                $attempU =$rowFA['attempt']+1;
                //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo de 15 minutos bloqueado
                if($rowFA['attempt']<$intentosU){
                    $con->query("UPDATE fail_attempt SET attempt='$attempU', ip = '$ip', datetime=NOW() where id_user ='$id_user' ");
                }
            }
        }
        //registra intentos segun usuario - FIN     
    }

    //validando Usuario y Contraseña - INICIO
    $username = $_POST['username']; $password = $_POST['password'];
    if (empty($username) || empty($password)) {
        $message = "Es necesario introducir un nombre de usuario y contraseña";
    } elseif($failed_login_attempt>=$intentosIP){
        $message = "'IP' bloqueada por 1 dia, contando desde las ".$row['datetime'];
    } elseif($logueado){
        $message = "'Usuario' ya se encuentra logueado.";
    } elseif($attempU>=$intentosU){
        $message = "'Usuario' bloqueado por 15 minutos, contando desde las ".$rowFA['datetime'];
    } elseif ($username != $UsernamaDB) {
        $message = "El 'Usuario' que has introducido no coincide. ";
    } elseif ($save_passw != $passwordDB) {
        $message = "Tu 'Contraseña' introducido no coincide. ";
    } elseif($save_passw == $passwordDB && $username == $UsernamaDB) {
        $_SESSION["id_user"] = $rowU['id'];
        $con->query("DELETE FROM login_attempts WHERE ip = '$ip'");
        $con->query("DELETE FROM fail_attempt WHERE id_user ='$id_user'");
    }
    //validando Usuario y Contraseña - FIN

    if(isset($_SESSION["id_user"])) {
        header("Location:http://localhost/login/index.php");
    }
}
?>
<h1><?php if($message!="") { echo $message; } ?></h1>
<form name="frmUser" method="post" action="">
  <input type="text" name="username" placeholder="Usuario">
  <input type="password" name="password" placeholder="Contraseña">
  <!-- captcha-->
  <?php if ( (isset($failed_login_attempt) && $failed_login_attempt >= 1) || (count($_POST)>0) ) { ?>
    <img src="captcha.php" id="phoca-captcha"/>
    <input name="vcode" type="text" placeholder="Codigo captcha">
   <?php } ?>
  <!-- fin-->
  <input type="submit" value="Iniciar sesión" id="button-login">
</form> 
se añadieron 338 caracteres en el cuerpo
Origen Enlace
juliocpiro
  • 2k
  • 1
  • 9
  • 16

La tabla fail_attempt

id_fail_attempt   id_user   attempt   ip       datetime                 time
      1              1        5      ::1   2017-08-23 17:57:46   2017-08-23 18:12:46 

login_attempts

  id         ip        attempts        datetime               
  1         ::1           2       2017-08-23 17:57:46    

users

La tabla users

fail_attempt

id_fail_attempt   id_user   attempt   ip       datetime                 time
      1              1        5      ::1   2017-08-23 17:57:46   2017-08-23 18:12:46 

login_attempts

  id         ip        attempts        datetime               
  1         ::1           2       2017-08-23 17:57:46    

users

se añadieron 2 caracteres en el cuerpo
Origen Enlace
juliocpiro
  • 2k
  • 1
  • 9
  • 16

He realizado ajustes a tu codigo. Esta claro que falta definir funcionalmente algunos casos de uso, pero hecódigo implementado lo que solicitas:

Podrían surgir mas casos de uso o validaciones que ajustarían mas el código. Si tienes dudas, conversamos por lo comentarios.

He realizado ajustes a tu codigo. Esta claro que falta definir funcionalmente algunos casos de uso, pero he implementado lo que solicitas:

Si tienes dudas, conversamos por lo comentarios.

He realizado ajustes a tu código implementado lo que solicitas:

Podrían surgir mas casos de uso o validaciones que ajustarían mas el código. Si tienes dudas, conversamos por lo comentarios.

se añadieron 117 caracteres en el cuerpo
Origen Enlace
juliocpiro
  • 2k
  • 1
  • 9
  • 16
Loading
Origen Enlace
juliocpiro
  • 2k
  • 1
  • 9
  • 16
Loading