id username email password lastname active logindatetime
1 Hola hola@ 4e46dc0969e6621f2d61d2228e3cd91b75cd9edc Hola 1 Hola 1 NULL
"4e46dc0969e6621f2d61d2228e3cd91b75cd9edc" es "Hola" en sha1
, al loguerase solo escribir "Hola", PHP lo convertira en sha1 para la comparacion con BD.
Cada vez que se agregue un usuario usar la funcion sha1
, ejemplo:
insert into users (id, username, email, password, lastname, NULLactive) values (2,'juliocpiro',sha1('12345'),'jcsar',1);
<?php
session_start();
$message="";
$captcha = true;
//indicador usuario logueado
$logueado = false;
//Nro intentos permitidos para IP
$intentosIP = 8;
//Nro intentos permitidos para Usuario
$intentosU = 5;
if(count($_POST)>0 && isset($_POST["vcode"]) && $_POST["vcode"]!=$_SESSION["vcode"]) {
$captcha = false;
$message = "Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.";
}else{
unset($_SESSION['id_user']);
}
$ip = $_SERVER['REMOTE_ADDR'];
$con = @new mysqli('localhost', 'root', '', 'systemuser');
//Bloqueamos la ip por un día
$result = mysqli_query($con,"SELECT * FROM login_attempts WHERE ip='$ip' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 1 DAY ) AND NOW()");
$row = mysqli_fetch_assoc($result);
//Obtenemos datos para comprar intentos y para resetear intentos por su ultimo fecha.
$failed_login_attempt=0;
if($row!=null){
$failed_login_attempt = mysqli_real_escape_string($con,$row['attempts']);
}
//Liberamos memoria.
mysqli_free_result($result);
if(count($_POST)>0 && $captcha == true) {
$username = mysqli_real_escape_string($con, $_POST["username"]);
$password = mysqli_real_escape_string($con, $_POST["password"]);
$username = htmlentities($username);
$password = htmlentities($password);
//$save_passw = sha1($password);
$save_passw = $password;
//Buscar usuario ingresado - INICIO
$sql = "SELECT *, CASE WHEN logindatetime BETWEEN DATE_SUB( NOW() , INTERVAL 2 MINUTE ) AND NOW() THEN '1' ELSE '0' END as logueado FROM users where username='$username' AND active='1' ";
$query = mysqli_query($con, $sql);
$rowU = mysqli_fetch_assoc($query);
$UsernamaDB = mysqli_real_escape_string($con, $rowU["username"]);
$passwordDB = mysqli_real_escape_string($con, $rowU["password"]);
//Buscar usuario ingresado - FIN
//registra intentos de login segun IP - INICIO
//////////////////////////////////////////////
if($row==null){
//Si es su primer intento fallido, incluimos el primer registro en la BD
$con->query("INSERT INTO login_attempts (ip,attempts,datetime) VALUES ('$ip', 1, NOW())");
}else{
//se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado
if($row['attempts']<$intentosIP){
$contador = $row['attempts'] + 1;
$con->query("UPDATE login_attempts SET attempts='$contador', datetime=NOW() WHERE ip = '$ip'");
}
}
//registra intentos de login segun IP - FIN
//VALIDANDO DOBLE LOGUEO
if($save_passw == $passwordDB && $username == $UsernamaDB && $rowU['logindatetime']!=null && $rowU['logueado']=='1') {
$logueado = true;
}else{
//registra intentos segun usuario - INICIO
////////////////////////////////////////
$attempU = 0;
if($UsernamaDB!= null && $UsernamaDB!=''){
$id_user = $rowU['id'];
$query = mysqli_query($con, "SELECT * FROM fail_attempt WHERE id_user ='$id_user' AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 15 MINUTE ) AND NOW() ");
$rowFA = mysqli_fetch_assoc($query);
if($rowFA==null){
$con->query("INSERT INTO fail_attempt (id_user, attempt, ip, datetime) VALUES ('$id_user', 1, '$ip', NOW())");
}else{
$attempU =$rowFA['attempt']+1;
//se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo de 15 minutos bloqueado
if($rowFA['attempt']<$intentosU){
$con->query("UPDATE fail_attempt SET attempt='$attempU', ip = '$ip', datetime=NOW() where id_user ='$id_user' ");
}
}
}
//registra intentos segun usuario - FIN
}
//validando Usuario y Contraseña - INICIO
$username = $_POST['username']; $password = $_POST['password'];
if (empty($username) || empty($password)) {
$message = "Es necesario introducir un nombre de usuario y contraseña";
} elseif($failed_login_attempt>=$intentosIP){
$message = "'IP' bloqueada por 1 dia, contando desde las ".$row['datetime'];
} elseif($logueado){
$message = "'Usuario' ya se encuentra logueado.";
} elseif($attempU>=$intentosU){
$message = "'Usuario' bloqueado por 15 minutos, contando desde las ".$rowFA['datetime'];
} elseif ($username != $UsernamaDB) {
$message = "El 'Usuario' que has introducido no coincide. ";
} elseif ($save_passw != $passwordDB) {
$message = "Tu 'Contraseña' introducido no coincide. ";
} elseif($save_passw == $passwordDB && $username == $UsernamaDB) {
$_SESSION["id_user"] = $rowU['id'];
$con->query("DELETE FROM login_attempts WHERE ip = '$ip'");
$con->query("DELETE FROM fail_attempt WHERE id_user ='$id_user'");
}
//validando Usuario y Contraseña - FIN
if(isset($_SESSION["id_user"])) {
header("Location:http://localhost/login/index.php");
}
}
?>
<h1><?php if($message!="") { echo $message; } ?></h1>
<form name="frmUser" method="post" action="">
<input type="text" name="username" placeholder="Usuario">
<input type="password" name="password" placeholder="Contraseña">
<!-- captcha-->
<?php if ( (isset($failed_login_attempt) && $failed_login_attempt >= 1) || (count($_POST)>0) ) { ?>
<img src="captcha.php" id="phoca-captcha"/>
<input name="vcode" type="text" placeholder="Codigo captcha">
<?php } ?>
<!-- fin-->
<input type="submit" value="Iniciar sesión" id="button-login">
</form>