Skip to main content
se añadieron 880 caracteres en el cuerpo
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
<?php
//Arrancamos sesión.
session_start();
//Zona region. 
date_default_timezone_set("Europe/Madrid");

//Reseteo de variables.
$msg = $usuario = $password = $captcha_code = NULL;

//Definido formulario y no es NULL.
if (isset($_POST) && !isset($_SESSION['captchaValidar'])) {
    
    //Inputs vacios.
    if (empty($_POST['usuario'])) {
        $msg = 'El"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>El usuario / correo electrónico es obligatorio.';";
    } elseif (empty($_POST['password'])) {
        $msg = 'La"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>La contraseña es obligatorio.';";
    } else {
        //Obtenemos datos inputs.
        $usuario = $_POST['usuario'] ?: '';
        $password = $_POST['password'] ?: '';
    }

    //Datos son verdadero.
    if ($usuario && $password) {        
        //Conexión -> SQL
        require_once'conect.php';
        //Obtenemos IP.
        $addres = $_SERVER['REMOTE_ADDR'];//Ip      
        //Comprobamos si existe usuario en la BD.
        //Sentencia.
        $stmt = $con->prepare("SELECT id,username,password FROM users WHERE username=? OR email=? LIMIT 1");
        //Ligar parametros marcadores, es decir, el valor ?, es decir email='$usuario' y las "s", estamos diciendo que $usuario es un string (cadena), si existen más, es importante su orden.
        $stmt->bind_param("ss",$usuario,$usuario);
        //Ejecutar sentencia.
        $stmt->execute();
        //Devuelve el número de filas de un conjunto de resultados de una sentencia.
        $stmt->store_result();
        //Comprobamos si existen registros
        if ($stmt->num_rows===1) {
            //Ligamos los datos desde la BD.
            $stmt->bind_result($id_user,$usernameBD,$passwordHASH);
            if ($stmt->fetch()) {
                
                //Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario.
                $stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
                //Ligar parametros marcadores.
                $stmtA->bind_param("i",$id_user);               
                //Ejecutar sentencia.
                $stmtA->execute();
                //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                $stmtA->store_result();
                //Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
                $check_attempt = $stmtA->num_rows;
                //Ligar variables de resultados BD.
                $stmtA->bind_result($attempts,$getdatetime);
                //Obtenemos valores.
                $stmtA->fetch();    
                //Cerrar sentencia.
                $stmtA->close();
                
                //Mientras los intentos no supera a 11, continuamos con el login.
                if ($attempts < 11) {
                    //Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
                    if ($attempts==5) {
                        //Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
                        if(strtotime($getdatetime) <= strtotime("-151 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
                            //Sentencia.
                            $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
                            //Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
                            $stmtUp->bind_param("isi", $int,$addres,$id_user);
                            //valores parametros marcadores.        
                            $int = 6;//Inilizamos en 6 intentos.
                            //Ejecutar sentencia.
                            $stmtUp->execute();
                            //Cerrar sentencia.
                            $stmtUp->close();
                            //Eliminamos session inactivo
                            unset($_SESSION['inactivo15']);
                            //Alerta.
                            echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
                            //Redirigimos a acceder
                            echo '<script>window.location="login.php"</script>';
                        } else {
                            //Mensaje cuenta desactivado durante 15min.
                            $msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                        }           
                    } else {
                        //En caso contrario continuamos con el login.

                        //Comprobamos password mediante la función password_verify.
                        if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.                                      
                            //Reseteamos intentos fallidos.
                            if ($check_attempt===1) {
                                //Reseteamos intentos en 0 para fail_attempt.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                $reset_attempt = 0;
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //Eleminas registro de login_attempts
                                //Sentencia.
                                $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtDel->bind_param("s",$addres);          
                                $stmtDel->execute();
                                //Cerrar sentencia.
                                $stmtDel->close();
                            }
                            //Creamos sesión al usuario.
                            $_SESSION['usuario'] = $usernameBD;         
                            //Redirigimos a pagina protegida
                            echo '<script>window.location="index.php"</script>';
                            
                        } else { //Contraseña incorrecto, añadimos intentos fallidos.                                   
                            
                            //Actualizamos intentos usuario.
                            if ($check_attempt===0) {                       
                                //Insertar primer intento fallido.

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.
                                $attempts = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else {
                                //Actualizar, es decir, incrementar intento fallido.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //A no actualizar el navegador, incremento manualmente el attemp
                                $attempts = $attempts +1;       

                            }

                            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
                            //Sentencia
                            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
                            //Ligar parametros marcadores.
                            $stmtIP->bind_param("s",$addres);                               
                            //Ejecutar sentencia.
                            $stmtIP->execute();
                            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                            $stmtIP->store_result();
                            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
                            $check_ip_attempts = $stmtIP->num_rows;         
                            //Ligar variables de resultados BD.
                            $stmtIP->bind_result($ip_attempts);
                            //Obtenemos valores.
                            $stmtIP->fetch();   
                            //Cerrar sentencia.
                            $stmtIP->close();               
                            

                            //Insertar fallo a tabla login_attempts mediante su IP.
                            if ($check_ip_attempts===0) { 

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                                //Creo valores marcadres.                                   
                                //Adrres ya es obtenido anteriormente.                                  
                                $int = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else { //Update fallo IP.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                                //Creo valores marcadres.                               
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();
                                //Incrementamos manualmente, a no actualizar navegador.
                                $ip_attempts = $ip_attempts+1;
                            }

                            //IP esta bloqueda.
                            if ($ip_attempts===8) {     
                                $_SESSION['inactivo1day'] = true;
                                //Redirigimos a acceder
                                echo '<script>window.location="login.php"</script>';        
                            }

                            //Mensajes contraseña fallidos.

                            //Primer fallo, mostramos el captcha.
                            if ($attempts<2) {
                                $msg = 'Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, vuelva a intentarlo.';";   
                            } elseif ($attempts ==3) {                              
                                //Arrancamos sesión del captcha.
                                $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los300px;'>Tu datoscontraseña introducidoses noincorrecto, sonvuelva validosa intentarlo.<p>";
                                echo '<script>window.location="login.php"</script>';                            
                            } elseif ($attempts==4) {
                                $msg = 'Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';</p>";
                            } elseif ($attempts==5) {
                                $_SESSION['inactivo15'] = date("H:i:s");
                                $msg = "Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";</p>";
                            } elseif ($attempts <=9) {
                                $msg = 'Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, vuelva a intentarlo.';<p>";
                            } elseif ($attempts<=10) {
                                $msg = 'Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';</p>";
                            } else {
                                $msg = 'Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';</p>";
                            }                           
                        }
                    }                   
                } else {
                //Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
                    $msg = 'Tu"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';  ";                          
                }
            } $stmt->close();
        } else {
            //Cerrar sentencia.
            $stmt->close(); 

            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
            //Sentencia
            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtIP->bind_param("s",$addres);                               
            //Ejecutar sentencia.
            $stmtIP->execute();
            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
            $stmtIP->store_result();
            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
            $check_ip_attempts = $stmtIP->num_rows;         
            //Ligar variables de resultados BD.
            $stmtIP->bind_result($ip_attempts);
            //Obtenemos valores.
            $stmtIP->fetch();   
            //Cerrar sentencia.
            $stmtIP->close();
                        

            //IP esta bloqueda.
            if ($ip_attempts===8) {     
                $_SESSION['inactivo1day'] = true;
                //Redirigimos a acceder
                echo '<script>window.location="login.php"</script>';        
            }

            if ($check_ip_attempts===0) { //Insert fallo IP.

                //Sentencia.
                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                //Ligar parametros marcadores.
                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                //Creo valores marcadres.                                   
                //Adrres ya es obtenido anteriormente.                                  
                $int = 1;
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtIn->execute();
                //Cerrar sentencia.
                $stmtIn->close();
            } else { //Update fallo IP.
                //Sentencia.
                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                //Ligar parametros marcadores.
                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                //Creo valores marcadres.                               
                //Adrres ya es obtenido anteriormente.                      
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtUp->execute();
                //Cerrar sentencia.
                $stmtUp->close();
            }           

            //Arrancamos sesión del captcha.
            $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los300px;'>El datosusuario introducidos/ nocorreo sonelectrónico validosno existen.<p>";
            echo '<script>window.location="login.php"</script>';
        }
    }
} else {
    //Comprobamos que esten escrito correctamente los caracteres del captcha.
    if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {                            
        $msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    } else { //Caracteres coinciden.
        //Destruimos la sesión.             
        unset($_SESSION['captchaValidar']);
        //Redirigimos al login.
        echo '<script>window.location="login.php"</script>';
    }   
}
//Respuesta Ajax
echo $msg;
?>
<?php
//Arrancamos sesión.
session_start();
//Zona region. 
date_default_timezone_set("Europe/Madrid");

//Reseteo de variables.
$msg = $usuario = $password = $captcha_code = NULL;

//Definido formulario y no es NULL.
if (isset($_POST) && !isset($_SESSION['captchaValidar'])) {
    
    //Inputs vacios.
    if (empty($_POST['usuario'])) {
        $msg = 'El usuario / correo electrónico es obligatorio.';
    } elseif (empty($_POST['password'])) {
        $msg = 'La contraseña es obligatorio.';
    } else {
        //Obtenemos datos inputs.
        $usuario = $_POST['usuario'] ?: '';
        $password = $_POST['password'] ?: '';
    }

    //Datos son verdadero.
    if ($usuario && $password) {        
        //Conexión -> SQL
        require_once'conect.php';
        //Obtenemos IP.
        $addres = $_SERVER['REMOTE_ADDR'];//Ip      
        //Comprobamos si existe usuario en la BD.
        //Sentencia.
        $stmt = $con->prepare("SELECT id,username,password FROM users WHERE username=? OR email=? LIMIT 1");
        //Ligar parametros marcadores, es decir, el valor ?, es decir email='$usuario' y las "s", estamos diciendo que $usuario es un string (cadena), si existen más, es importante su orden.
        $stmt->bind_param("ss",$usuario,$usuario);
        //Ejecutar sentencia.
        $stmt->execute();
        //Devuelve el número de filas de un conjunto de resultados de una sentencia.
        $stmt->store_result();
        //Comprobamos si existen registros
        if ($stmt->num_rows===1) {
            //Ligamos los datos desde la BD.
            $stmt->bind_result($id_user,$usernameBD,$passwordHASH);
            if ($stmt->fetch()) {
                
                //Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario.
                $stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
                //Ligar parametros marcadores.
                $stmtA->bind_param("i",$id_user);               
                //Ejecutar sentencia.
                $stmtA->execute();
                //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                $stmtA->store_result();
                //Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
                $check_attempt = $stmtA->num_rows;
                //Ligar variables de resultados BD.
                $stmtA->bind_result($attempts,$getdatetime);
                //Obtenemos valores.
                $stmtA->fetch();    
                //Cerrar sentencia.
                $stmtA->close();
                
                //Mientras los intentos no supera a 11, continuamos con el login.
                if ($attempts < 11) {
                    //Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
                    if ($attempts==5) {
                        //Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
                        if(strtotime($getdatetime) <= strtotime("-15 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
                            //Sentencia.
                            $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
                            //Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
                            $stmtUp->bind_param("isi", $int,$addres,$id_user);
                            //valores parametros marcadores.        
                            $int = 6;//Inilizamos en 6 intentos.
                            //Ejecutar sentencia.
                            $stmtUp->execute();
                            //Cerrar sentencia.
                            $stmtUp->close();
                            //Eliminamos session inactivo
                            unset($_SESSION['inactivo15']);
                            //Alerta.
                            echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
                            //Redirigimos a acceder
                            echo '<script>window.location="login.php"</script>';
                        } else {
                            //Mensaje cuenta desactivado durante 15min.
                            $msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                        }           
                    } else {
                        //En caso contrario continuamos con el login.

                        //Comprobamos password mediante la función password_verify.
                        if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.                                      
                            //Reseteamos intentos fallidos.
                            if ($check_attempt===1) {
                                //Reseteamos intentos en 0 para fail_attempt.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                $reset_attempt = 0;
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //Eleminas registro de login_attempts
                                //Sentencia.
                                $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtDel->bind_param("s",$addres);          
                                $stmtDel->execute();
                                //Cerrar sentencia.
                                $stmtDel->close();
                            }
                            //Creamos sesión al usuario.
                            $_SESSION['usuario'] = $usernameBD;         
                            //Redirigimos a pagina protegida
                            echo '<script>window.location="index.php"</script>';
                            
                        } else { //Contraseña incorrecto, añadimos intentos fallidos.                                   
                            
                            //Actualizamos intentos usuario.
                            if ($check_attempt===0) {                       
                                //Insertar primer intento fallido.

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.
                                $attempts = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else {
                                //Actualizar, es decir, incrementar intento fallido.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //A no actualizar el navegador, incremento manualmente el attemp
                                $attempts = $attempts +1;       

                            }

                            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
                            //Sentencia
                            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
                            //Ligar parametros marcadores.
                            $stmtIP->bind_param("s",$addres);                               
                            //Ejecutar sentencia.
                            $stmtIP->execute();
                            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                            $stmtIP->store_result();
                            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
                            $check_ip_attempts = $stmtIP->num_rows;         
                            //Ligar variables de resultados BD.
                            $stmtIP->bind_result($ip_attempts);
                            //Obtenemos valores.
                            $stmtIP->fetch();   
                            //Cerrar sentencia.
                            $stmtIP->close();               
                            

                            //Insertar fallo a tabla login_attempts mediante su IP.
                            if ($check_ip_attempts===0) { 

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                                //Creo valores marcadres.                                   
                                //Adrres ya es obtenido anteriormente.                                  
                                $int = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else { //Update fallo IP.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                                //Creo valores marcadres.                               
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();
                                //Incrementamos manualmente, a no actualizar navegador.
                                $ip_attempts = $ip_attempts+1;
                            }

                            //IP esta bloqueda.
                            if ($ip_attempts===8) {     
                                $_SESSION['inactivo1day'] = true;
                                //Redirigimos a acceder
                                echo '<script>window.location="login.php"</script>';        
                            }

                            //Mensajes contraseña fallidos.

                            //Primer fallo, mostramos el captcha.
                            if ($attempts<2) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.'; 
                            } elseif ($attempts ==3) {                              
                                //Arrancamos sesión del captcha.
                                $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los datos introducidos no son validos.<p>";
                                echo '<script>window.location="login.php"</script>';                            
                            } elseif ($attempts==4) {
                                $msg = 'Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';
                            } elseif ($attempts==5) {
                                $_SESSION['inactivo15'] = date("H:i:s");
                                $msg = "Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                            } elseif ($attempts <=9) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
                            } elseif ($attempts<=10) {
                                $msg = 'Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';
                            } else {
                                $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
                            }                           
                        }
                    }                   
                } else {
                //Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
                    $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';                            
                }
            } $stmt->close();
        } else {
            //Cerrar sentencia.
            $stmt->close(); 

            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
            //Sentencia
            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtIP->bind_param("s",$addres);                               
            //Ejecutar sentencia.
            $stmtIP->execute();
            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
            $stmtIP->store_result();
            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
            $check_ip_attempts = $stmtIP->num_rows;         
            //Ligar variables de resultados BD.
            $stmtIP->bind_result($ip_attempts);
            //Obtenemos valores.
            $stmtIP->fetch();   
            //Cerrar sentencia.
            $stmtIP->close();
                        

            //IP esta bloqueda.
            if ($ip_attempts===8) {     
                $_SESSION['inactivo1day'] = true;
                //Redirigimos a acceder
                echo '<script>window.location="login.php"</script>';        
            }

            if ($check_ip_attempts===0) { //Insert fallo IP.

                //Sentencia.
                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                //Ligar parametros marcadores.
                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                //Creo valores marcadres.                                   
                //Adrres ya es obtenido anteriormente.                                  
                $int = 1;
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtIn->execute();
                //Cerrar sentencia.
                $stmtIn->close();
            } else { //Update fallo IP.
                //Sentencia.
                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                //Ligar parametros marcadores.
                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                //Creo valores marcadres.                               
                //Adrres ya es obtenido anteriormente.                      
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtUp->execute();
                //Cerrar sentencia.
                $stmtUp->close();
            }           

            //Arrancamos sesión del captcha.
            $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los datos introducidos no son validos.<p>";
            echo '<script>window.location="login.php"</script>';
        }
    }
} else {
    //Comprobamos que esten escrito correctamente los caracteres del captcha.
    if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {                            
        $msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    } else { //Caracteres coinciden.
        //Destruimos la sesión.             
        unset($_SESSION['captchaValidar']);
        //Redirigimos al login.
        echo '<script>window.location="login.php"</script>';
    }   
}
//Respuesta Ajax
echo $msg;
?>
<?php
//Arrancamos sesión.
session_start();
//Zona region. 
date_default_timezone_set("Europe/Madrid");

//Reseteo de variables.
$msg = $usuario = $password = $captcha_code = NULL;

//Definido formulario y no es NULL.
if (isset($_POST) && !isset($_SESSION['captchaValidar'])) {
    
    //Inputs vacios.
    if (empty($_POST['usuario'])) {
        $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>El usuario / correo electrónico es obligatorio.";
    } elseif (empty($_POST['password'])) {
        $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>La contraseña es obligatorio.";
    } else {
        //Obtenemos datos inputs.
        $usuario = $_POST['usuario'] ?: '';
        $password = $_POST['password'] ?: '';
    }

    //Datos son verdadero.
    if ($usuario && $password) {        
        //Conexión -> SQL
        require_once'conect.php';
        //Obtenemos IP.
        $addres = $_SERVER['REMOTE_ADDR'];//Ip      
        //Comprobamos si existe usuario en la BD.
        //Sentencia.
        $stmt = $con->prepare("SELECT id,username,password FROM users WHERE username=? OR email=? LIMIT 1");
        //Ligar parametros marcadores, es decir, el valor ?, es decir email='$usuario' y las "s", estamos diciendo que $usuario es un string (cadena), si existen más, es importante su orden.
        $stmt->bind_param("ss",$usuario,$usuario);
        //Ejecutar sentencia.
        $stmt->execute();
        //Devuelve el número de filas de un conjunto de resultados de una sentencia.
        $stmt->store_result();
        //Comprobamos si existen registros
        if ($stmt->num_rows===1) {
            //Ligamos los datos desde la BD.
            $stmt->bind_result($id_user,$usernameBD,$passwordHASH);
            if ($stmt->fetch()) {
                
                //Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario.
                $stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
                //Ligar parametros marcadores.
                $stmtA->bind_param("i",$id_user);               
                //Ejecutar sentencia.
                $stmtA->execute();
                //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                $stmtA->store_result();
                //Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
                $check_attempt = $stmtA->num_rows;
                //Ligar variables de resultados BD.
                $stmtA->bind_result($attempts,$getdatetime);
                //Obtenemos valores.
                $stmtA->fetch();    
                //Cerrar sentencia.
                $stmtA->close();
                
                //Mientras los intentos no supera a 11, continuamos con el login.
                if ($attempts < 11) {
                    //Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
                    if ($attempts==5) {
                        //Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
                        if(strtotime($getdatetime) <= strtotime("-1 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
                            //Sentencia.
                            $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
                            //Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
                            $stmtUp->bind_param("isi", $int,$addres,$id_user);
                            //valores parametros marcadores.        
                            $int = 6;//Inilizamos en 6 intentos.
                            //Ejecutar sentencia.
                            $stmtUp->execute();
                            //Cerrar sentencia.
                            $stmtUp->close();
                            //Eliminamos session inactivo
                            unset($_SESSION['inactivo15']);
                            //Alerta.
                            echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
                            //Redirigimos a acceder
                            echo '<script>window.location="login.php"</script>';
                        } else {
                            //Mensaje cuenta desactivado durante 15min.
                            $msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                        }           
                    } else {
                        //En caso contrario continuamos con el login.

                        //Comprobamos password mediante la función password_verify.
                        if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.                                      
                            //Reseteamos intentos fallidos.
                            if ($check_attempt===1) {
                                //Reseteamos intentos en 0 para fail_attempt.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                $reset_attempt = 0;
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //Eleminas registro de login_attempts
                                //Sentencia.
                                $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtDel->bind_param("s",$addres);          
                                $stmtDel->execute();
                                //Cerrar sentencia.
                                $stmtDel->close();
                            }
                            //Creamos sesión al usuario.
                            $_SESSION['usuario'] = $usernameBD;         
                            //Redirigimos a pagina protegida
                            echo '<script>window.location="index.php"</script>';
                            
                        } else { //Contraseña incorrecto, añadimos intentos fallidos.                                   
                            
                            //Actualizamos intentos usuario.
                            if ($check_attempt===0) {                       
                                //Insertar primer intento fallido.

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.
                                $attempts = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else {
                                //Actualizar, es decir, incrementar intento fallido.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //A no actualizar el navegador, incremento manualmente el attemp
                                $attempts = $attempts +1;       

                            }

                            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
                            //Sentencia
                            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
                            //Ligar parametros marcadores.
                            $stmtIP->bind_param("s",$addres);                               
                            //Ejecutar sentencia.
                            $stmtIP->execute();
                            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                            $stmtIP->store_result();
                            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
                            $check_ip_attempts = $stmtIP->num_rows;         
                            //Ligar variables de resultados BD.
                            $stmtIP->bind_result($ip_attempts);
                            //Obtenemos valores.
                            $stmtIP->fetch();   
                            //Cerrar sentencia.
                            $stmtIP->close();               
                            

                            //Insertar fallo a tabla login_attempts mediante su IP.
                            if ($check_ip_attempts===0) { 

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                                //Creo valores marcadres.                                   
                                //Adrres ya es obtenido anteriormente.                                  
                                $int = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else { //Update fallo IP.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                                //Creo valores marcadres.                               
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();
                                //Incrementamos manualmente, a no actualizar navegador.
                                $ip_attempts = $ip_attempts+1;
                            }

                            //IP esta bloqueda.
                            if ($ip_attempts===8) {     
                                $_SESSION['inactivo1day'] = true;
                                //Redirigimos a acceder
                                echo '<script>window.location="login.php"</script>';        
                            }

                            //Mensajes contraseña fallidos.

                            //Primer fallo, mostramos el captcha.
                            if ($attempts<2) {
                                $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, vuelva a intentarlo.";   
                            } elseif ($attempts ==3) {                              
                                //Arrancamos sesión del captcha.
                                $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, vuelva a intentarlo.<p>";
                                echo '<script>window.location="login.php"</script>';                            
                            } elseif ($attempts==4) {
                                $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.</p>";
                            } elseif ($attempts==5) {
                                $_SESSION['inactivo15'] = date("H:i:s");
                                $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.</p>";
                            } elseif ($attempts <=9) {
                                $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecto, vuelva a intentarlo.<p>";
                            } elseif ($attempts<=10) {
                                $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.</p>";
                            } else {
                                $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.</p>";
                            }                           
                        }
                    }                   
                } else {
                //Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
                    $msg = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.";                          
                }
            } $stmt->close();
        } else {
            //Cerrar sentencia.
            $stmt->close(); 

            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
            //Sentencia
            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtIP->bind_param("s",$addres);                               
            //Ejecutar sentencia.
            $stmtIP->execute();
            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
            $stmtIP->store_result();
            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
            $check_ip_attempts = $stmtIP->num_rows;         
            //Ligar variables de resultados BD.
            $stmtIP->bind_result($ip_attempts);
            //Obtenemos valores.
            $stmtIP->fetch();   
            //Cerrar sentencia.
            $stmtIP->close();
                        

            //IP esta bloqueda.
            if ($ip_attempts===8) {     
                $_SESSION['inactivo1day'] = true;
                //Redirigimos a acceder
                echo '<script>window.location="login.php"</script>';        
            }

            if ($check_ip_attempts===0) { //Insert fallo IP.

                //Sentencia.
                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                //Ligar parametros marcadores.
                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                //Creo valores marcadres.                                   
                //Adrres ya es obtenido anteriormente.                                  
                $int = 1;
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtIn->execute();
                //Cerrar sentencia.
                $stmtIn->close();
            } else { //Update fallo IP.
                //Sentencia.
                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                //Ligar parametros marcadores.
                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                //Creo valores marcadres.                               
                //Adrres ya es obtenido anteriormente.                      
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtUp->execute();
                //Cerrar sentencia.
                $stmtUp->close();
            }           

            //Arrancamos sesión del captcha.
            $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>El usuario / correo electrónico no existen.<p>";
            echo '<script>window.location="login.php"</script>';
        }
    }
} else {
    //Comprobamos que esten escrito correctamente los caracteres del captcha.
    if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {                            
        $msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    } else { //Caracteres coinciden.
        //Destruimos la sesión.             
        unset($_SESSION['captchaValidar']);
        //Redirigimos al login.
        echo '<script>window.location="login.php"</script>';
    }   
}
//Respuesta Ajax
echo $msg;
?>
correcciones estructura
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
    <?php
      //Arrancamos sesión.
      session_start();
      //Comprobamos si esta iniciado sesión, caso contrario redirigimos al login.
      if (!isset($_SESSION['usuario'])) { header('Location:login.php'); }
    ?>
    <!DOCTYPE html>
    <html lang="es-ES">
    <body>
        Bienvenido <?php echo $_SESSION['usuario']; ?>  
        <a href="logout.php">Cerrar sesión</a>
    </body>
    </html>
<?php
session_start();
$random_alpha = md5(rand());
$captcha_code = substr($random_alpha, 0, 6); // Numero total de caracters en el captcha

$_SESSION["captcha_code"] = $captcha_code;
$target_layer = imagecreatefrompng("img/captcha.png"); /// Fondo personalizado para el sistema de captcha.
$textColor = imagecolorallocate($target_layer, 71,171,118); // Color de la fuente
$lineColor = imagecolorallocate($target_layer, 255,255,255); // Color de las lineas del captcha
$imageInfo = getimagesize("img/captcha.png"); // fondo de la imagen

$linesToDraw = 40; // numero total de lineas en el captcha
 
for( $i = 10; $i < $linesToDraw; $i++ )  {      
    $xStart = mt_rand( 0, $imageInfo[ 0 ] );
    $xEnd = mt_rand( 0, $imageInfo[ 0 ] );    
    imageline($target_layer, $xStart, 0, $xEnd, $imageInfo[1], $lineColor );    
}

imagettftext($target_layer, 35, 2, 41, 50, $textColor, "font/SpecialElite.ttf", $captcha_code );

header("Content-type: image/png");
imagepng($target_layer);
imagedestroy($target_layer); 
?>

logout.php

<?php
    //Activar sesión.
    session_start();
    //Remover sesión.
    session_unset();
    //Destruir sesión.
    session_destroy();
    //Redirigimos
    header('location: login.php');
?>

RAIZ
font / SpecialElite.ttf (font)
img / captcha.png (dimensiones: 250x60 pixeles)
captcha_code.php
conect.php
index.php
login.php
login_control.php
logout.php

    <?php
      //Arrancamos sesión.
      session_start();
      //Comprobamos si esta iniciado sesión, caso contrario redirigimos al login.
      if (!isset($_SESSION['usuario'])) { header('Location:login.php'); }
    ?>
    <!DOCTYPE html>
    <html lang="es-ES">
    <body>
        Bienvenido <?php echo $_SESSION['usuario']; ?>  
    </body>
    </html>
<?php
session_start();
$random_alpha = md5(rand());
$captcha_code = substr($random_alpha, 0, 6); // Numero total de caracters en el captcha

$_SESSION["captcha_code"] = $captcha_code;
$target_layer = imagecreatefrompng("img/captcha.png"); /// Fondo personalizado para el sistema de captcha.
$textColor = imagecolorallocate($target_layer, 71,171,118); // Color de la fuente
$lineColor = imagecolorallocate($target_layer, 255,255,255); // Color de las lineas del captcha
$imageInfo = getimagesize("img/captcha.png"); // fondo de la imagen

$linesToDraw = 40; // numero total de lineas en el captcha
 
for( $i = 10; $i < $linesToDraw; $i++ )  {      
    $xStart = mt_rand( 0, $imageInfo[ 0 ] );
    $xEnd = mt_rand( 0, $imageInfo[ 0 ] );    
    imageline($target_layer, $xStart, 0, $xEnd, $imageInfo[1], $lineColor );    
}

imagettftext($target_layer, 35, 2, 41, 50, $textColor, "font/SpecialElite.ttf", $captcha_code );

header("Content-type: image/png");
imagepng($target_layer);
imagedestroy($target_layer); 
?>

RAIZ
font / SpecialElite.ttf (font)
img / captcha.png (dimensiones: 250x60 pixeles)
captcha_code.php
conect.php
index.php
login.php
login_control.php

    <?php
      //Arrancamos sesión.
      session_start();
      //Comprobamos si esta iniciado sesión, caso contrario redirigimos al login.
      if (!isset($_SESSION['usuario'])) { header('Location:login.php'); }
    ?>
    <!DOCTYPE html>
    <html lang="es-ES">
    <body>
        Bienvenido <?php echo $_SESSION['usuario']; ?>  
        <a href="logout.php">Cerrar sesión</a>
    </body>
    </html>
<?php
session_start();
$random_alpha = md5(rand());
$captcha_code = substr($random_alpha, 0, 6); // Numero total de caracters en el captcha

$_SESSION["captcha_code"] = $captcha_code;
$target_layer = imagecreatefrompng("img/captcha.png"); /// Fondo personalizado para el sistema de captcha.
$textColor = imagecolorallocate($target_layer, 71,171,118); // Color de la fuente
$lineColor = imagecolorallocate($target_layer, 255,255,255); // Color de las lineas del captcha
$imageInfo = getimagesize("img/captcha.png"); // fondo de la imagen

$linesToDraw = 40; // numero total de lineas en el captcha
 
for( $i = 10; $i < $linesToDraw; $i++ )  {      
    $xStart = mt_rand( 0, $imageInfo[ 0 ] );
    $xEnd = mt_rand( 0, $imageInfo[ 0 ] );    
    imageline($target_layer, $xStart, 0, $xEnd, $imageInfo[1], $lineColor );    
}

imagettftext($target_layer, 35, 2, 41, 50, $textColor, "font/SpecialElite.ttf", $captcha_code );

header("Content-type: image/png");
imagepng($target_layer);
imagedestroy($target_layer); 
?>

logout.php

<?php
    //Activar sesión.
    session_start();
    //Remover sesión.
    session_unset();
    //Destruir sesión.
    session_destroy();
    //Redirigimos
    header('location: login.php');
?>

RAIZ
font / SpecialElite.ttf (font)
img / captcha.png (dimensiones: 250x60 pixeles)
captcha_code.php
conect.php
index.php
login.php
login_control.php
logout.php

Correcciones gramáticas y estructura
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42

Desde mi punto de vista al primer intento mostrar el código captcha, podría ser incomodo, ya que un usuario se equivoca fácilmente en el primer intento, aun asi vamos a respetarponer en el 13 intento, aunque este valor se podría modificar como uno desea en realidad.

  • 13 intento, mostramos el código captcha y incrementamos (+1) intentos fallidos en tabla login_attempts mediante su IP.
  • 5 intento desactivamos el usuario durante 15min.
  • Intento 8 fallido en login_Attempts, se bloquea el login durante 1 día por IP.
  • En el intento 10, inactivamos el usuario hasta contactar con el administrador.
  • En caso introducir datos no validos inserta un intento fallido mediante su IP.
  • Inicia sesión mediante usuario y correo electrónico.
  • Seguridad en la Base de datos mediante sentencias preparadas.
  • password_hash, un hash de contraseña usando un algoritmo de hash fuerte de único sentido.
    <?php
    //Arrancamos sesión.
    session_start();

    //Caso estar iniciado sesión, redirigimos automatico al index.
    if (isset($_SESSION['usuario'])) { header('Location:index.php'); }
    //Conexión -> SQL
    require_once'conect.php';
    //Calculamos intentos fallidos por IP.
    $stmtIP = $con->prepare("SELECT attempts,datetime FROM login_attempts WHERE ip=?");
    //Ligar parametros marcadores.
    $stmtIP->bind_param("s",$addres);   
    //Obtenemos IP.
    $addres = $_SERVER['REMOTE_ADDR'];//Ip          
    //Ejecutar sentencia.
    $stmtIP->execute();             
    //Ligar variables de resultados BD.
    $stmtIP->bind_result($totalattempt,$getdatetime);
    //Obtenemos valores.
    $stmtIP->fetch();   
    //Cerrar sentencia.
    $stmtIP->close();   
    //Si supera más de 10 intentos, el IP quedara inactivo durante 1 dia.
    if ($totalattempt===8) {
        if (!isset($_SESSION['inactivo1day'])) {
            $_SESSION['inactivo1day'] = true;
        }
        //Reseteo intentos a 0 pasado 1 dia.
        if(strtotime($getdatetime) <= strtotime("-1 day")) { // -15 minutes podria ser -30minutes, -1hours, -day etc...
            //Sentencia.
            $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtDel->bind_param("s",$addres);          
            $stmtDel->execute();
            //Cerrar sentencia.
            $stmtDel->close();
            //Eliminamos session inactivo
            unset($_SESSION['inactivo1day']);           
            //Redirigimos a login
            echo '<script>window.location="login.php"</script>';
        } else {
            //Mensaje cuenta desactivado durante 15min.
            $msg = "La IP ha quedado desactivado desde las {$getdatetime}, durante 1 dia., intentelo más tarde.";
        }           
    }
?>
<!DOCTYPE html>
<html lang="es-ES">
<head>  
    <!-- Libreria jQuery. -->       
    <script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>  
    
    <meta charset="utf-8" /><!-- Character encoding. -->
    <script>
        $(document).ready(function() {
            //Formulario login.
            $(document).on('submit', '#login-form', function() {  
                //Data formulario    
                var data = $(this).serialize();                 
                $.ajax({        
                    type : 'POST',
                    url  : 'login_control.php',
                    data : data,
                    success :  function(data) {            
                        $("#result-login").html(data);  
                    }
                });             
                return false;    
            });         
        });
    </script>
</head>
<body>  
    <?php   
    if (!isset($_SESSION['inactivo1day'])) {            
        //En caso estar activado la sesión del captcha, se ativa el formulario captcha.         
    ?>      
            <h2>Por favor, introduce tu usuario / correo electrónico y contraseña para comenzar.</h2>               
            <form method="POST" id="login-form">                            
                <input type="text" name="usuario" placeholder="Usuario / Correo electrónico *" />
                <input type="password" name="password" placeholder="Contrase&ntilde;a *" /> 
                <?php
                if (isset($_SESSION['captchaValidar']) && $_SESSION['captchaValidar']==true) {
                ?>
                <h2>Verifica los caracteres del 'Captcha' para continuar</h2>
                <img src='captcha_code.php' />              
                <input name='captcha_code' type='text' placeholder='Codigo captcha' />  
                <?php
                }
                ?>     


                <button type="submit">Inicia sesión</button>                    
            </form>
            <br />
            <div id="result-login"><login">
            <!-- Respuesta AJAX --></div>>
                <?php if (isset($_SESSION['captchaValidar'])) {
                    echo $_SESSION['captchaValidar'];
                } ?>
            </div>      
        <?php
        
    } else {
        echo $msg;
    }
    ?>      
</body>
</html>
<?php
//Arrancamos sesión.
session_start();
//Zona region. 
date_default_timezone_set("Europe/Madrid");

//Reseteo de variables.
$msg = $usuario = $password = $captcha_code = NULL;

//Definido formulario y no es NULL.
if (isset($_POST) && !isset($_SESSION['captchaValidar'])) {
    
    //Inputs vacios.
    if (empty($_POST['usuario'])) {
        $msg = 'El usuario / correo electrónico es obligatorio.';
    } elseif (empty($_POST['password'])) {
        $msg = 'La contraseña es obligatorio.';
    } else {
        //Obtenemos datos inputs.
        $usuario = $_POST['usuario'] ?: '';
        $password = $_POST['password'] ?: '';
    }

    //Datos son verdadero.
    if ($usuario && $password) {        
        //Conexión -> SQL
        require_once'conect.php';
        //Obtenemos IP.
        $addres = $_SERVER['REMOTE_ADDR'];//Ip      
        //Comprobamos si existe usuario en la BD.
        //Sentencia.
        $stmt = $con->prepare("SELECT id,username,password FROM users WHERE username=? OR email=? LIMIT 1");
        //Ligar parametros marcadores, es decir, el valor ?, es decir email='$usuario' y las "s", estamos diciendo que $usuario es un string (cadena), si existen más, es importante su orden.
        $stmt->bind_param("ss",$usuario,$usuario);
        //Ejecutar sentencia.
        $stmt->execute();
        //Devuelve el número de filas de un conjunto de resultados de una sentencia.
        $stmt->store_result();
        //Comprobamos si existen registros
        if ($stmt->num_rows===1) {
            //Ligamos los datos desde la BD.
            $stmt->bind_result($id_user,$usernameBD,$passwordHASH);
            if ($stmt->fetch()) {
                
                //Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario.
                $stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
                //Ligar parametros marcadores.
                $stmtA->bind_param("i",$id_user);               
                //Ejecutar sentencia.
                $stmtA->execute();
                //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                $stmtA->store_result();
                //Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
                $check_attempt = $stmtA->num_rows;
                //Ligar variables de resultados BD.
                $stmtA->bind_result($attempts,$getdatetime);
                //Obtenemos valores.
                $stmtA->fetch();    
                //Cerrar sentencia.
                $stmtA->close();
                
                //Mientras los intentos no supera a 11, continuamos con el login.
                if ($attempts < 11) {
                    //Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
                    if ($attempts==5) {
                        //Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
                        if(strtotime($getdatetime) <= strtotime("-115 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
                            //Sentencia.
                            $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
                            //Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
                            $stmtUp->bind_param("isi", $int,$addres,$id_user);
                            //valores parametros marcadores.        
                            $int = 6;//Inilizamos en 6 intentos.
                            //Ejecutar sentencia.
                            $stmtUp->execute();
                            //Cerrar sentencia.
                            $stmtUp->close();
                            //Eliminamos session inactivo
                            unset($_SESSION['inactivo15']);
                            //Alerta.
                            echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
                            //Redirigimos a acceder
                            echo '<script>window.location="login.php"</script>';
                        } else {
                            //Mensaje cuenta desactivado durante 15min.
                            $msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                        }           
                    } else {
                        //En caso contrario continuamos con el login.

                        //Comprobamos password mediante la función password_verify.
                        if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.                                      
                            //Reseteamos intentos fallidos.
                            if ($check_attempt===1) {
                                //Reseteamos intentos en 0 para fail_attempt.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                $reset_attempt = 0;
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //Eleminas registro de login_attempts
                                //Sentencia.
                                $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtDel->bind_param("s",$addres);          
                                $stmtDel->execute();
                                //Cerrar sentencia.
                                $stmtDel->close();
                            }
                            //Creamos sesión al usuario.
                            $_SESSION['usuario'] = $usernameBD;         
                            //Redirigimos a pagina protegida
                            echo '<script>window.location="index.php"</script>';
                            
                        } else { //Contraseña incorrecto, añadimos intentos fallidos.                                   
                            
                            //Actualizamos intentos usuario.
                            if ($check_attempt===0) {                       
                                //Insertar primer intento fallido.

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.
                                $attempts = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else {
                                //Actualizar, es decir, incrementar intento fallido.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //A no actualizar el navegador, incremento manualmente el attemp
                                $attempts = $attempts +1;       

                            }

                            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
                            //Sentencia
                            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
                            //Ligar parametros marcadores.
                            $stmtIP->bind_param("s",$addres);                               
                            //Ejecutar sentencia.
                            $stmtIP->execute();
                            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                            $stmtIP->store_result();
                            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
                            $check_ip_attempts = $stmtIP->num_rows;         
                            //Ligar variables de resultados BD.
                            $stmtIP->bind_result($ip_attempts);
                            //Obtenemos valores.
                            $stmtIP->fetch();   
                            //Cerrar sentencia.
                            $stmtIP->close();               
                            

                            //Insertar fallo a tabla login_attempts mediante su IP.
                            if ($check_ip_attempts===0) { 

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                                //Creo valores marcadres.                                   
                                //Adrres ya es obtenido anteriormente.                                  
                                $int = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else { //Update fallo IP.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                                //Creo valores marcadres.                               
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();
                                //Incrementamos manualmente, a no actualizar navegador.
                                $ip_attempts = $ip_attempts+1;
                            }

                            //IP esta bloqueda.
                            if ($ip_attempts===8) {     
                                $_SESSION['inactivo1day'] = true;
                                //Redirigimos a acceder
                                echo '<script>window.location="login.php"</script>';        
                            }

                            //Mensajes contraseña fallidos.

                            //Primer fallo, mostramos el captcha.
                            if ($attempts ==1$attempts<2) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.'; 
                            } elseif ($attempts ==3) {                              
                                //Arrancamos sesión del captcha.
                                $_SESSION['captchaValidar'] = true;"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los datos introducidos no son validos.<p>";
                                echo '<script>window.location="login.php"</script>';                            
                            } elseif ($attempts <=3) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';                                                             
                            } elseif ($attempts==4) {
                                $msg = 'Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';
                            } elseif ($attempts==5) {
                                $_SESSION['inactivo15'] = date("H:i:s");
                                $msg = "Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                            } elseif ($attempts <=9) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
                            } elseif ($attempts<=10) {
                                $msg = 'Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';
                            } else {
                                $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
                            }                           
                        }
                    }                   
                } else {
                //Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
                    $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';                            
                }
            } $stmt->close();
        } else {
            //Cerrar sentencia.
            $stmt->close(); 

            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
            //Sentencia
            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtIP->bind_param("s",$addres);                               
            //Ejecutar sentencia.
            $stmtIP->execute();
            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
            $stmtIP->store_result();
            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
            $check_ip_attempts = $stmtIP->num_rows;         
            //Ligar variables de resultados BD.
            $stmtIP->bind_result($ip_attempts);
            //Obtenemos valores.
            $stmtIP->fetch();   
            //Cerrar sentencia.
            $stmtIP->close();
                        

            //IP esta bloqueda.
            if ($ip_attempts===8) {     
                $_SESSION['inactivo1day'] = true;
                //Redirigimos a acceder
                echo '<script>window.location="login.php"</script>';        
            }

            if ($check_ip_attempts===0) { //Insert fallo IP.

                //Sentencia.
                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                //Ligar parametros marcadores.
                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                //Creo valores marcadres.                                   
                //Adrres ya es obtenido anteriormente.                                  
                $int = 1;
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtIn->execute();
                //Cerrar sentencia.
                $stmtIn->close();
            } else { //Update fallo IP.
                //Sentencia.
                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                //Ligar parametros marcadores.
                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                //Creo valores marcadres.                               
                //Adrres ya es obtenido anteriormente.                      
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtUp->execute();
                //Cerrar sentencia.
                $stmtUp->close();
            }           

            //Arrancamos sesión del captcha.
            $_SESSION['captchaValidar'] = true;"<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los datos introducidos no son validos.<p>";
            echo '<script>window.location="login.php"</script>';
        }
    }
} else {
    //Comprobamos que esten escrito correctamente los caracteres del captcha.
    if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {                            
        $msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    } else { //Caracteres coinciden.
        //Destruimos la sesión.             
        unset($_SESSION['captchaValidar']);
        //Redirigimos al login.
        echo '<script>window.location="login.php"</script>';
    }   
}
//Respuesta Ajax
echo $msg;
?>

Desde mi punto de vista al primer intento mostrar el código captcha, podría ser incomodo, ya que un usuario se equivoca fácilmente en el primer intento, aun asi vamos a respetar en el 1 intento, aunque este valor se podría modificar como uno desea en realidad.

  • 1 intento, mostramos el código captcha y incrementamos (+1) intentos fallidos en tabla login_attempts mediante su IP.
  • 5 intento desactivamos el usuario durante 15min.
  • Intento 8 fallido en login_Attempts, se bloquea el login durante 1 día por IP.
  • En el intento 10, inactivamos el usuario hasta contactar con el administrador.
  • En caso introducir datos no validos inserta un intento fallido mediante su IP.
  • Inicia sesión mediante usuario y correo electrónico.
  • Seguridad en la Base de datos mediante sentencias preparadas.
  • password_hash, un hash de contraseña usando un algoritmo de hash fuerte de único sentido.
    <?php
    //Arrancamos sesión.
    session_start();

    //Caso estar iniciado sesión, redirigimos automatico al index.
    if (isset($_SESSION['usuario'])) { header('Location:index.php'); }
    //Conexión -> SQL
    require_once'conect.php';
    //Calculamos intentos fallidos por IP.
    $stmtIP = $con->prepare("SELECT attempts,datetime FROM login_attempts WHERE ip=?");
    //Ligar parametros marcadores.
    $stmtIP->bind_param("s",$addres);   
    //Obtenemos IP.
    $addres = $_SERVER['REMOTE_ADDR'];//Ip          
    //Ejecutar sentencia.
    $stmtIP->execute();             
    //Ligar variables de resultados BD.
    $stmtIP->bind_result($totalattempt,$getdatetime);
    //Obtenemos valores.
    $stmtIP->fetch();   
    //Cerrar sentencia.
    $stmtIP->close();   
    //Si supera más de 10 intentos, el IP quedara inactivo durante 1 dia.
    if ($totalattempt===8) {
        if (!isset($_SESSION['inactivo1day'])) {
            $_SESSION['inactivo1day'] = true;
        }
        //Reseteo intentos a 0 pasado 1 dia.
        if(strtotime($getdatetime) <= strtotime("-1 day")) { // -15 minutes podria ser -30minutes, -1hours, -day etc...
            //Sentencia.
            $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtDel->bind_param("s",$addres);          
            $stmtDel->execute();
            //Cerrar sentencia.
            $stmtDel->close();
            //Eliminamos session inactivo
            unset($_SESSION['inactivo1day']);           
            //Redirigimos a login
            echo '<script>window.location="login.php"</script>';
        } else {
            //Mensaje cuenta desactivado durante 15min.
            $msg = "La IP ha quedado desactivado desde las {$getdatetime}, durante 1 dia., intentelo más tarde.";
        }           
    }
?>
<!DOCTYPE html>
<html lang="es-ES">
<head>  
    <!-- Libreria jQuery. -->       
    <script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>  
    
    <meta charset="utf-8" /><!-- Character encoding. -->
    <script>
        $(document).ready(function() {
            //Formulario login.
            $(document).on('submit', '#login-form', function() {  
                //Data formulario    
                var data = $(this).serialize();                 
                $.ajax({        
                    type : 'POST',
                    url  : 'login_control.php',
                    data : data,
                    success :  function(data) {            
                        $("#result-login").html(data);  
                    }
                });             
                return false;    
            });         
        });
    </script>
</head>
<body>  
    <?php   
    if (!isset($_SESSION['inactivo1day'])) {            
        //En caso estar activado la sesión del captcha, se ativa el formulario captcha.         
    ?>      
            <h2>Por favor, introduce tu usuario / correo electrónico y contraseña para comenzar.</h2>               
            <form method="POST" id="login-form">                            
                <input type="text" name="usuario" placeholder="Usuario / Correo electrónico *" />
                <input type="password" name="password" placeholder="Contrase&ntilde;a *" /> 
                <?php
                if (isset($_SESSION['captchaValidar']) && $_SESSION['captchaValidar']==true) {
                ?>
                <h2>Verifica los caracteres del 'Captcha' para continuar</h2>
                <img src='captcha_code.php' />              
                <input name='captcha_code' type='text' placeholder='Codigo captcha' />  
                <?php
                }
                ?>    
                <button type="submit">Inicia sesión</button>                    
            </form>
            <br />
            <div id="result-login"><!-- Respuesta AJAX --></div>        
        <?php
        
    } else {
        echo $msg;
    }
    ?>      
</body>
</html>
<?php
//Arrancamos sesión.
session_start();
//Zona region. 
date_default_timezone_set("Europe/Madrid");

//Reseteo de variables.
$msg = $usuario = $password = $captcha_code = NULL;

//Definido formulario y no es NULL.
if (isset($_POST) && !isset($_SESSION['captchaValidar'])) {
    
    //Inputs vacios.
    if (empty($_POST['usuario'])) {
        $msg = 'El usuario / correo electrónico es obligatorio.';
    } elseif (empty($_POST['password'])) {
        $msg = 'La contraseña es obligatorio.';
    } else {
        //Obtenemos datos inputs.
        $usuario = $_POST['usuario'] ?: '';
        $password = $_POST['password'] ?: '';
    }

    //Datos son verdadero.
    if ($usuario && $password) {        
        //Conexión -> SQL
        require_once'conect.php';
        //Obtenemos IP.
        $addres = $_SERVER['REMOTE_ADDR'];//Ip      
        //Comprobamos si existe usuario en la BD.
        //Sentencia.
        $stmt = $con->prepare("SELECT id,username,password FROM users WHERE username=? OR email=? LIMIT 1");
        //Ligar parametros marcadores, es decir, el valor ?, es decir email='$usuario' y las "s", estamos diciendo que $usuario es un string (cadena), si existen más, es importante su orden.
        $stmt->bind_param("ss",$usuario,$usuario);
        //Ejecutar sentencia.
        $stmt->execute();
        //Devuelve el número de filas de un conjunto de resultados de una sentencia.
        $stmt->store_result();
        //Comprobamos si existen registros
        if ($stmt->num_rows===1) {
            //Ligamos los datos desde la BD.
            $stmt->bind_result($id_user,$usernameBD,$passwordHASH);
            if ($stmt->fetch()) {
                
                //Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario.
                $stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
                //Ligar parametros marcadores.
                $stmtA->bind_param("i",$id_user);               
                //Ejecutar sentencia.
                $stmtA->execute();
                //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                $stmtA->store_result();
                //Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
                $check_attempt = $stmtA->num_rows;
                //Ligar variables de resultados BD.
                $stmtA->bind_result($attempts,$getdatetime);
                //Obtenemos valores.
                $stmtA->fetch();    
                //Cerrar sentencia.
                $stmtA->close();
                
                //Mientras los intentos no supera a 11, continuamos con el login.
                if ($attempts < 11) {
                    //Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
                    if ($attempts==5) {
                        //Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
                        if(strtotime($getdatetime) <= strtotime("-1 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
                            //Sentencia.
                            $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
                            //Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
                            $stmtUp->bind_param("isi", $int,$addres,$id_user);
                            //valores parametros marcadores.        
                            $int = 6;//Inilizamos en 6 intentos.
                            //Ejecutar sentencia.
                            $stmtUp->execute();
                            //Cerrar sentencia.
                            $stmtUp->close();
                            //Eliminamos session inactivo
                            unset($_SESSION['inactivo15']);
                            //Alerta.
                            echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
                            //Redirigimos a acceder
                            echo '<script>window.location="login.php"</script>';
                        } else {
                            //Mensaje cuenta desactivado durante 15min.
                            $msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                        }           
                    } else {
                        //En caso contrario continuamos con el login.

                        //Comprobamos password mediante la función password_verify.
                        if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.                                      
                            //Reseteamos intentos fallidos.
                            if ($check_attempt===1) {
                                //Reseteamos intentos en 0 para fail_attempt.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                $reset_attempt = 0;
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //Eleminas registro de login_attempts
                                //Sentencia.
                                $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtDel->bind_param("s",$addres);          
                                $stmtDel->execute();
                                //Cerrar sentencia.
                                $stmtDel->close();
                            }
                            //Creamos sesión al usuario.
                            $_SESSION['usuario'] = $usernameBD;         
                            //Redirigimos a pagina protegida
                            echo '<script>window.location="index.php"</script>';
                            
                        } else { //Contraseña incorrecto, añadimos intentos fallidos.                                   
                            
                            //Actualizamos intentos usuario.
                            if ($check_attempt===0) {                       
                                //Insertar primer intento fallido.

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.
                                $attempts = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else {
                                //Actualizar, es decir, incrementar intento fallido.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //A no actualizar el navegador, incremento manualmente el attemp
                                $attempts = $attempts +1;       

                            }

                            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
                            //Sentencia
                            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
                            //Ligar parametros marcadores.
                            $stmtIP->bind_param("s",$addres);                               
                            //Ejecutar sentencia.
                            $stmtIP->execute();
                            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                            $stmtIP->store_result();
                            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
                            $check_ip_attempts = $stmtIP->num_rows;         
                            //Ligar variables de resultados BD.
                            $stmtIP->bind_result($ip_attempts);
                            //Obtenemos valores.
                            $stmtIP->fetch();   
                            //Cerrar sentencia.
                            $stmtIP->close();               
                            

                            //Insertar fallo a tabla login_attempts mediante su IP.
                            if ($check_ip_attempts===0) { 

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                                //Creo valores marcadres.                                   
                                //Adrres ya es obtenido anteriormente.                                  
                                $int = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else { //Update fallo IP.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                                //Creo valores marcadres.                               
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();
                                //Incrementamos manualmente, a no actualizar navegador.
                                $ip_attempts = $ip_attempts+1;
                            }

                            //IP esta bloqueda.
                            if ($ip_attempts===8) {     
                                $_SESSION['inactivo1day'] = true;
                                //Redirigimos a acceder
                                echo '<script>window.location="login.php"</script>';        
                            }

                            //Mensajes contraseña fallidos.

                            //Primer fallo, mostramos el captcha.
                            if ($attempts ==1) {                                
                                //Arrancamos sesión del captcha.
                                $_SESSION['captchaValidar'] = true;
                                echo '<script>window.location="login.php"</script>';                            
                            } elseif ($attempts <=3) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';                                                             
                            } elseif ($attempts==4) {
                                $msg = 'Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';
                            } elseif ($attempts==5) {
                                $_SESSION['inactivo15'] = date("H:i:s");
                                $msg = "Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                            } elseif ($attempts <=9) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
                            } elseif ($attempts<=10) {
                                $msg = 'Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';
                            } else {
                                $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
                            }                           
                        }
                    }                   
                } else {
                //Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
                    $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';                            
                }
            } $stmt->close();
        } else {
            //Cerrar sentencia.
            $stmt->close(); 

            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
            //Sentencia
            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtIP->bind_param("s",$addres);                               
            //Ejecutar sentencia.
            $stmtIP->execute();
            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
            $stmtIP->store_result();
            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
            $check_ip_attempts = $stmtIP->num_rows;         
            //Ligar variables de resultados BD.
            $stmtIP->bind_result($ip_attempts);
            //Obtenemos valores.
            $stmtIP->fetch();   
            //Cerrar sentencia.
            $stmtIP->close();
                        

            //IP esta bloqueda.
            if ($ip_attempts===8) {     
                $_SESSION['inactivo1day'] = true;
                //Redirigimos a acceder
                echo '<script>window.location="login.php"</script>';        
            }

            if ($check_ip_attempts===0) { //Insert fallo IP.

                //Sentencia.
                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                //Ligar parametros marcadores.
                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                //Creo valores marcadres.                                   
                //Adrres ya es obtenido anteriormente.                                  
                $int = 1;
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtIn->execute();
                //Cerrar sentencia.
                $stmtIn->close();
            } else { //Update fallo IP.
                //Sentencia.
                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                //Ligar parametros marcadores.
                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                //Creo valores marcadres.                               
                //Adrres ya es obtenido anteriormente.                      
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtUp->execute();
                //Cerrar sentencia.
                $stmtUp->close();
            }           

            //Arrancamos sesión del captcha.
            $_SESSION['captchaValidar'] = true;
            echo '<script>window.location="login.php"</script>';
        }
    }
} else {
    //Comprobamos que esten escrito correctamente los caracteres del captcha.
    if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {                            
        $msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    } else { //Caracteres coinciden.
        //Destruimos la sesión.             
        unset($_SESSION['captchaValidar']);
        //Redirigimos al login.
        echo '<script>window.location="login.php"</script>';
    }   
}
//Respuesta Ajax
echo $msg;
?>

Desde mi punto de vista al primer intento mostrar el código captcha, podría ser incomodo, ya que un usuario se equivoca fácilmente en el primer intento, vamos a poner en el 3 intento, aunque este valor se podría modificar como uno desea en realidad.

  • 3 intento, mostramos el código captcha y incrementamos.
  • 5 intento desactivamos el usuario durante 15min.
  • Intento 8 fallido en login_Attempts, se bloquea el login durante 1 día por IP.
  • En el intento 10, inactivamos el usuario hasta contactar con el administrador.
  • En caso introducir datos no validos inserta un intento fallido mediante su IP.
  • Inicia sesión mediante usuario y correo electrónico.
  • Seguridad en la Base de datos mediante sentencias preparadas.
  • password_hash, un hash de contraseña usando un algoritmo de hash fuerte de único sentido.
    <?php
    //Arrancamos sesión.
    session_start();

    //Caso estar iniciado sesión, redirigimos automatico al index.
    if (isset($_SESSION['usuario'])) { header('Location:index.php'); }
    //Conexión -> SQL
    require_once'conect.php';
    //Calculamos intentos fallidos por IP.
    $stmtIP = $con->prepare("SELECT attempts,datetime FROM login_attempts WHERE ip=?");
    //Ligar parametros marcadores.
    $stmtIP->bind_param("s",$addres);   
    //Obtenemos IP.
    $addres = $_SERVER['REMOTE_ADDR'];//Ip          
    //Ejecutar sentencia.
    $stmtIP->execute();             
    //Ligar variables de resultados BD.
    $stmtIP->bind_result($totalattempt,$getdatetime);
    //Obtenemos valores.
    $stmtIP->fetch();   
    //Cerrar sentencia.
    $stmtIP->close();   
    //Si supera más de 10 intentos, el IP quedara inactivo durante 1 dia.
    if ($totalattempt===8) {
        if (!isset($_SESSION['inactivo1day'])) {
            $_SESSION['inactivo1day'] = true;
        }
        //Reseteo intentos a 0 pasado 1 dia.
        if(strtotime($getdatetime) <= strtotime("-1 day")) { // -15 minutes podria ser -30minutes, -1hours, -day etc...
            //Sentencia.
            $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtDel->bind_param("s",$addres);          
            $stmtDel->execute();
            //Cerrar sentencia.
            $stmtDel->close();
            //Eliminamos session inactivo
            unset($_SESSION['inactivo1day']);           
            //Redirigimos a login
            echo '<script>window.location="login.php"</script>';
        } else {
            //Mensaje cuenta desactivado durante 15min.
            $msg = "La IP ha quedado desactivado desde las {$getdatetime}, durante 1 dia., intentelo más tarde.";
        }           
    }
?>
<!DOCTYPE html>
<html lang="es-ES">
<head>  
    <!-- Libreria jQuery. -->       
    <script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>  
    
    <meta charset="utf-8" /><!-- Character encoding. -->
    <script>
        $(document).ready(function() {
            //Formulario login.
            $(document).on('submit', '#login-form', function() {  
                //Data formulario    
                var data = $(this).serialize();                 
                $.ajax({        
                    type : 'POST',
                    url  : 'login_control.php',
                    data : data,
                    success :  function(data) {            
                        $("#result-login").html(data);  
                    }
                });             
                return false;    
            });         
        });
    </script>
</head>
<body>  
    <?php   
    if (!isset($_SESSION['inactivo1day'])) {            
        //En caso estar activado la sesión del captcha, se ativa el formulario captcha.         
    ?>      
            <h2>Por favor, introduce tu usuario / correo electrónico y contraseña para comenzar.</h2>               
            <form method="POST" id="login-form">                            
                <input type="text" name="usuario" placeholder="Usuario / Correo electrónico *" />
                <input type="password" name="password" placeholder="Contrase&ntilde;a *" /> 
                <?php
                if (isset($_SESSION['captchaValidar'])) {
                ?>
                <h2>Verifica los caracteres del 'Captcha' para continuar</h2>
                <img src='captcha_code.php' />              
                <input name='captcha_code' type='text' placeholder='Codigo captcha' />  
                <?php
                }
                ?> 


                <button type="submit">Inicia sesión</button>                    
            </form>
            <br />
            <div id="result-login">
            <!-- Respuesta AJAX -->
                <?php if (isset($_SESSION['captchaValidar'])) {
                    echo $_SESSION['captchaValidar'];
                } ?>
            </div>      
        <?php
        
    } else {
        echo $msg;
    }
    ?>      
</body>
</html>
<?php
//Arrancamos sesión.
session_start();
//Zona region. 
date_default_timezone_set("Europe/Madrid");

//Reseteo de variables.
$msg = $usuario = $password = $captcha_code = NULL;

//Definido formulario y no es NULL.
if (isset($_POST) && !isset($_SESSION['captchaValidar'])) {
    
    //Inputs vacios.
    if (empty($_POST['usuario'])) {
        $msg = 'El usuario / correo electrónico es obligatorio.';
    } elseif (empty($_POST['password'])) {
        $msg = 'La contraseña es obligatorio.';
    } else {
        //Obtenemos datos inputs.
        $usuario = $_POST['usuario'] ?: '';
        $password = $_POST['password'] ?: '';
    }

    //Datos son verdadero.
    if ($usuario && $password) {        
        //Conexión -> SQL
        require_once'conect.php';
        //Obtenemos IP.
        $addres = $_SERVER['REMOTE_ADDR'];//Ip      
        //Comprobamos si existe usuario en la BD.
        //Sentencia.
        $stmt = $con->prepare("SELECT id,username,password FROM users WHERE username=? OR email=? LIMIT 1");
        //Ligar parametros marcadores, es decir, el valor ?, es decir email='$usuario' y las "s", estamos diciendo que $usuario es un string (cadena), si existen más, es importante su orden.
        $stmt->bind_param("ss",$usuario,$usuario);
        //Ejecutar sentencia.
        $stmt->execute();
        //Devuelve el número de filas de un conjunto de resultados de una sentencia.
        $stmt->store_result();
        //Comprobamos si existen registros
        if ($stmt->num_rows===1) {
            //Ligamos los datos desde la BD.
            $stmt->bind_result($id_user,$usernameBD,$passwordHASH);
            if ($stmt->fetch()) {
                
                //Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario.
                $stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
                //Ligar parametros marcadores.
                $stmtA->bind_param("i",$id_user);               
                //Ejecutar sentencia.
                $stmtA->execute();
                //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                $stmtA->store_result();
                //Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
                $check_attempt = $stmtA->num_rows;
                //Ligar variables de resultados BD.
                $stmtA->bind_result($attempts,$getdatetime);
                //Obtenemos valores.
                $stmtA->fetch();    
                //Cerrar sentencia.
                $stmtA->close();
                
                //Mientras los intentos no supera a 11, continuamos con el login.
                if ($attempts < 11) {
                    //Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
                    if ($attempts==5) {
                        //Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
                        if(strtotime($getdatetime) <= strtotime("-15 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
                            //Sentencia.
                            $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
                            //Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
                            $stmtUp->bind_param("isi", $int,$addres,$id_user);
                            //valores parametros marcadores.        
                            $int = 6;//Inilizamos en 6 intentos.
                            //Ejecutar sentencia.
                            $stmtUp->execute();
                            //Cerrar sentencia.
                            $stmtUp->close();
                            //Eliminamos session inactivo
                            unset($_SESSION['inactivo15']);
                            //Alerta.
                            echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
                            //Redirigimos a acceder
                            echo '<script>window.location="login.php"</script>';
                        } else {
                            //Mensaje cuenta desactivado durante 15min.
                            $msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                        }           
                    } else {
                        //En caso contrario continuamos con el login.

                        //Comprobamos password mediante la función password_verify.
                        if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.                                      
                            //Reseteamos intentos fallidos.
                            if ($check_attempt===1) {
                                //Reseteamos intentos en 0 para fail_attempt.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                $reset_attempt = 0;
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //Eleminas registro de login_attempts
                                //Sentencia.
                                $stmtDel = $con->prepare("DELETE FROM login_attempts WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtDel->bind_param("s",$addres);          
                                $stmtDel->execute();
                                //Cerrar sentencia.
                                $stmtDel->close();
                            }
                            //Creamos sesión al usuario.
                            $_SESSION['usuario'] = $usernameBD;         
                            //Redirigimos a pagina protegida
                            echo '<script>window.location="index.php"</script>';
                            
                        } else { //Contraseña incorrecto, añadimos intentos fallidos.                                   
                            
                            //Actualizamos intentos usuario.
                            if ($check_attempt===0) {                       
                                //Insertar primer intento fallido.

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.
                                $attempts = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else {
                                //Actualizar, es decir, incrementar intento fallido.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
                                //Creo valores marcadres.
                                //id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();

                                //A no actualizar el navegador, incremento manualmente el attemp
                                $attempts = $attempts +1;       

                            }

                            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
                            //Sentencia
                            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
                            //Ligar parametros marcadores.
                            $stmtIP->bind_param("s",$addres);                               
                            //Ejecutar sentencia.
                            $stmtIP->execute();
                            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
                            $stmtIP->store_result();
                            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
                            $check_ip_attempts = $stmtIP->num_rows;         
                            //Ligar variables de resultados BD.
                            $stmtIP->bind_result($ip_attempts);
                            //Obtenemos valores.
                            $stmtIP->fetch();   
                            //Cerrar sentencia.
                            $stmtIP->close();               
                            

                            //Insertar fallo a tabla login_attempts mediante su IP.
                            if ($check_ip_attempts===0) { 

                                //Sentencia.
                                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                                //Ligar parametros marcadores.
                                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                                //Creo valores marcadres.                                   
                                //Adrres ya es obtenido anteriormente.                                  
                                $int = 1;
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtIn->execute();
                                //Cerrar sentencia.
                                $stmtIn->close();
                            } else { //Update fallo IP.
                                //Sentencia.
                                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                                //Ligar parametros marcadores.
                                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                                //Creo valores marcadres.                               
                                //Adrres ya es obtenido anteriormente.                      
                                $datetime = date('Y-m-d  H:i:s', time());
                                //Ejecutar sentencia.
                                $stmtUp->execute();
                                //Cerrar sentencia.
                                $stmtUp->close();
                                //Incrementamos manualmente, a no actualizar navegador.
                                $ip_attempts = $ip_attempts+1;
                            }

                            //IP esta bloqueda.
                            if ($ip_attempts===8) {     
                                $_SESSION['inactivo1day'] = true;
                                //Redirigimos a acceder
                                echo '<script>window.location="login.php"</script>';        
                            }

                            //Mensajes contraseña fallidos.

                            //Primer fallo, mostramos el captcha.
                            if ($attempts<2) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.'; 
                            } elseif ($attempts ==3) {                              
                                //Arrancamos sesión del captcha.
                                $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los datos introducidos no son validos.<p>";
                                echo '<script>window.location="login.php"</script>';                            
                            } elseif ($attempts==4) {
                                $msg = 'Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';
                            } elseif ($attempts==5) {
                                $_SESSION['inactivo15'] = date("H:i:s");
                                $msg = "Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
                            } elseif ($attempts <=9) {
                                $msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
                            } elseif ($attempts<=10) {
                                $msg = 'Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';
                            } else {
                                $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
                            }                           
                        }
                    }                   
                } else {
                //Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
                    $msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';                            
                }
            } $stmt->close();
        } else {
            //Cerrar sentencia.
            $stmt->close(); 

            //Comprobamos si ha excedido más de 8 intentos fallidos mediante su IP.                         
            //Sentencia
            $stmtIP = $con->prepare("SELECT attempts FROM login_attempts WHERE ip=?");
            //Ligar parametros marcadores.
            $stmtIP->bind_param("s",$addres);                               
            //Ejecutar sentencia.
            $stmtIP->execute();
            //Devuelve el número de filas de un conjunto de resultados de una sentencia.
            $stmtIP->store_result();
            //Comprobamos si existen algun registro, para asi diferenciar si hacer un insert o update.  
            $check_ip_attempts = $stmtIP->num_rows;         
            //Ligar variables de resultados BD.
            $stmtIP->bind_result($ip_attempts);
            //Obtenemos valores.
            $stmtIP->fetch();   
            //Cerrar sentencia.
            $stmtIP->close();
                        

            //IP esta bloqueda.
            if ($ip_attempts===8) {     
                $_SESSION['inactivo1day'] = true;
                //Redirigimos a acceder
                echo '<script>window.location="login.php"</script>';        
            }

            if ($check_ip_attempts===0) { //Insert fallo IP.

                //Sentencia.
                $stmtIn = $con->prepare("INSERT INTO login_attempts (ip,attempts,datetime) VALUES (?,?,?)");
                //Ligar parametros marcadores.
                $stmtIn->bind_param("sis",$addres,$int,$datetime);
                //Creo valores marcadres.                                   
                //Adrres ya es obtenido anteriormente.                                  
                $int = 1;
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtIn->execute();
                //Cerrar sentencia.
                $stmtIn->close();
            } else { //Update fallo IP.
                //Sentencia.
                $stmtUp = $con->prepare("UPDATE login_attempts SET ip=?, attempts=attempts+1, datetime=? WHERE ip=?");
                //Ligar parametros marcadores.
                $stmtUp->bind_param("sss",$addres,$datetime,$addres);
                //Creo valores marcadres.                               
                //Adrres ya es obtenido anteriormente.                      
                $datetime = date('Y-m-d  H:i:s', time());
                //Ejecutar sentencia.
                $stmtUp->execute();
                //Cerrar sentencia.
                $stmtUp->close();
            }           

            //Arrancamos sesión del captcha.
            $_SESSION['captchaValidar'] = "<p style='background-color:red; color:white; padding:1rem; margin-top:1rem; max-width:300px;'>Los datos introducidos no son validos.<p>";
            echo '<script>window.location="login.php"</script>';
        }
    }
} else {
    //Comprobamos que esten escrito correctamente los caracteres del captcha.
    if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {                            
        $msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    } else { //Caracteres coinciden.
        //Destruimos la sesión.             
        unset($_SESSION['captchaValidar']);
        //Redirigimos al login.
        echo '<script>window.location="login.php"</script>';
    }   
}
//Respuesta Ajax
echo $msg;
?>
Correcciones gramáticas
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Modificación estructura
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Correcciones estructura
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Correcciones gramáticas
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Correcciones gramáticas
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Modificación código
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
se añadió 1 carácter en el cuerpo
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading