0

estoy creando una aplicación php/Mysql. La hice y probé en mi pc con Xamp sin ningún problema, pero al subirla al servidor no carga la página de login y dice que hay un problema de seguridad.

Buscando ayuda encontré un módulo para sesiones seguras, lo revisé y me parece que tiene todas las consideraciones de seguridad que he leído. Lo estoy usando pero el problema persiste.

El módulo de seguridad que estoy usando es el siguiente:

 <?php 

/**
* Clase para manejo de sesiones seguras.
*
* @version: 1.0
*
*   @author: Juan Correa.
*
*/
class Session
{

public $session_id;
private $session_token;

public function __construct()
{
    $this->initSession();   
    $this->setSessionToken();
    $this->setSessionValue('_session_token_', $this->session_token);
}

/*
* Configura caché de sesión y la inicializa
* 
* @params: void
*
* @return: void
*/
private function initSession()
{
    $this->setSessionCacheLimiter('private');
    $this->setSessionCacheExpire(0);
    $this->setCookieParams();

    session_start();

    $this->sessionRegenerateId();
}

/*
* Establece el limitador del caché actual
* 
* @params: String limiter: el limitador
*
* @return: void
*/
private function setSessionCacheLimiter($limiter)
{
    session_cache_limiter($limiter);
}

/*
* Establece la caducidad del caché en minutos
* 
* @params: Int minutes: duración del caché
*
* @return: void
*/
private function setSessionCacheExpire($minutes)
{
    session_cache_expire($minutes);
}

/*
* Establece los parámetros de la cookie. Su efecto dura lo mismo que el script invocador
* 
* @params: Int minutes: duración del caché
*
* @return: void
*/
private function setCookieParams()
{
    $cookie_params = session_get_cookie_params();

    session_set_cookie_params(
            $cookie_params['path'],
            $cookie_params['domain'],
            'SECURE',
            true);
}

/*
* Crea un token personalizado para mayor seguridad
* 
* @params: void
*
* @return: void
*/
private function setSessionToken()
{
    $this->session_token = sha1($this->session_id . 'EscudoDeSeguridad');
}

/*
* Asigna el id de sesión al atributo session_id
* 
* @params: void
*
* @return: void
*/
public function setSessionId()
{
    $this->session_id = session_id();
}

/*
* Recupera el valor de session_id
* 
* @params: void
*
* @return: void
*/
public function getSessionId()
{
    return $this->session_id;
}

/*
* Crea un nuevo valor al array $_SESSION
* 
* @params: 
*       String name_key: nombre de la llave del array de sesión
*   String value: el valor asociado a la llave
*
* @return: void
*/
public function setSessionValue($name_key, $value)
{
    $_SESSION[$name_key] = $value;
}

/*
* Recupera un elemento del array $_SESSION
* 
* @params: String session_value: la llave del array a recuperar
*
* @return: el valor del elemento del array solicitado. Si no existe, false
*/
public function getSessionValue($session_value)
{
    if (! empty($_SESSION[$session_value]))
        return $_SESSION[$session_value];

    return false;
}

/*
* Elimina un elemento del array $_SESSION
* 
* @params: String session_value: la llave del array a eliminar
*
* @return: void
*/
public function removeSessionValue($session_value)
{
    if (! empty( $_SESSION[$session_value]))
        unset ($_SESSION[$session_value]);
}

/*
* Valida sesión iniciada usando session_token y session_id
*
*   Al autogenerarse al instanciar, siempre deben ser iguales
* 
* @params: void
*
* @return: true en caso de éxito, false lo contrario
*/
public function checkSession()
{
    if ($this->session_token === $_SESSION['_session_token_'] and $this->session_id === session_id() )
        return true;

    return false;
}

/*
* Regenera el session_id cuando se deje de hacer referencia al objeto 
* 
* @params: void
*
* @return: void
*/
public function __destruct()
{
    $this->sessionRegenerateId();
}

/*
* Regenera el session_id
* 
* @params: void
*
* @return: void
*/
private function sessionRegenerateId()
{
    session_regenerate_id();
    $this->setSessionId();
}

/*
* Borra los datos y destruye la sesión.
* 
* @params: void
*
* @return: void
*/
public function destroy()
{
    $this->session_id = '';
    session_unset();
    session_destroy();
}

}

 ?>

Mi login.php es el siguiente:

<html>

<head>

<title>LogIn</title>

<link rel="stylesheet" type="text/css" href="Themes/BlueNote/Style.css">

<?php    

    require_once('db.php');
    require_once('sesionsegura.php');


    $MiSesion = new Session();


    if (isset($_POST['userid'])){

        $User = $DB->real_escape_string($_POST['userid']);
        $Password = $DB->real_escape_string($_POST['password']);

        // query to find 
        $query = "SELECT  admin
                    FROM Users WHERE user_id = '" . $User . "' and password = sha2('" . $Password . "', 224)";

        // execute query
        $res = $DB->query($query);
        if ($res->num_rows > 0){
            $_SESSION['userid'] = $User;
            $row = $res->fetch_assoc();
            $_SESSION['admin'] = $row['admin'];  

            if  ($_SESSION['admin'] == 1)
                header("Location: onconshome.php"); // Redirect user to index2.php
            else
                header("Location: onconshome.php"); // Redirect user to index.php
        }else
            echo "<div class='form'><h3>Username/password is incorrect.</h3></div>";

  }

?>
</head>
<body bgcolor="#FFFFF7" text="#000000" link="#000000" vlink="#000000" alink="#FF0000" class="CobaltPageBODY">
<p>
      <form name="LoginName"  method="POST">
        <font class="BlueNoteFormHeaderFont">Log In </font><input type="hidden" value="{FormState}" name="FormState"> 
        <div style="OVERFLOW-Y: auto; OVERFLOW-X: auto;  WIDTH: 550px;  HEIGHT: 200px">
          <table class="BlueNoteFormTABLE" cellpadding="4">
            <tr>
              <td class="BlueNoteColumnTD" nowrap>
                 UserID:
            <br>
            <input type="text"  id="userid" name="userid" placeholder="userid"/>
            <br>
            Password :
            <br>
            <input type="password" id="password" name="password" placeholder="password" />
            <br><br>
            <input type="submit" value="Submit" class""submit"/></td>
            </tr>



          </table>

        </div>

      </form>
 <!-- END EditableGrid activity_type -->


</p>
</body>
</html>

Y la conexión a la base de datos la hago en db.php, obviamente cambiando los valores de host y usuario para los del servidor:

<?php

        $DB = new mysqli("localhost:3306", "root", "", "luncz986_sec_title");
        if (mysqli_connect_errno()) /* check connection */
            die("Connect failed: ".mysqli_connect_error());
        return $DB;

?>

Llevo rato dando vueltas a este problema y simplemente me quedé sin ideas. Agradeceré mucho sus observaciones. No me da ningún mensaje de error, simplemente deja la página en blanco.

6
  • Activa los errores al principio del archivo php para ver si te sale un mensaje de error y nos avisas qué dice. error_reporting(E_ALL); ini_set('display_errors', 'On');
    – Edgard
    el 13 mar. 2019 a las 16:11
  • Muchas gracias, no conocía estas opciones, ahora me está dando mensajes de error que entiendo, voy a corregirlos y si encuentro algo que no entienda te aviso el 14 mar. 2019 a las 14:23
  • Ok, no encuentro mi problema aún. Parece que no se logra conectar a mi base de datos, el error es Connect failed: Access denied for user 'luncz986_adst'@'localhost' (using password: YES), y la llamada a conectarse es $enlace = mysqli_connect("localhost", "luncz986_adst", " 87456073456976MenAdm", "luncz986_sec_title"); Ya verifiqué que está bien escrito el nombre del usuario, la clave y el nombre de la DB, el nombre del servidor es localhost porque es mi servidor local, ya verifiqué que el usuario está asociado a la base de datos y que tiene todos los permisos, ya no sé qué mas verificar el 14 mar. 2019 a las 14:45
  • ya logré resolver la conexión, ya trabaja :). Te agradezco muchísimo, me ayudaste mucho. No estoy segura cómo hago para evaluarte, para agradecer tu ayuda el 15 mar. 2019 a las 15:08
  • No hay problema, cuéntanos cuál era el problema, pues con lo que te indiqué para que actives lo errores es solo para ver qué podría estar sucediendo.
    – Edgard
    el 15 mar. 2019 a las 21:24

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.