0

¡Hola! Llevo partiendome la cabeza desde hace varios meses porque no puedo verificar una contraseña encriptada, tengo este codigo:

<?php
include ("conexion.php");

session_start();
session_destroy();

if (isset($_POST['ingresar'])) {
if (!empty($_POST['username']) && !empty($_POST['password'])) {
    
    $usuario = $_POST['username'];
    $password = password_hash($_POST['password'], PASSWORD_DEFAULT);
    
    echo "$password<br>";
    
    $query_hash = mysqli_query($conn, "SELECT password FROM usuarios WHERE username = '$usuario'");
    $row_hash = mysqli_fetch_array($query_hash);
    $hash = $row_hash['password'];
    
    echo "$hash";

    $query = mysqli_query($conn, "SELECT `username`, `password`, `exclusivo` FROM `usuarios` WHERE username = '$usuario' AND password = '$password'");
    if (password_verify($password, $hash)){ y aqui mi codigo }

Esto es el hash de la contraseña en el login, todo funciona menos la verificacion. Este es el registro:

<?php

include ("conexion.php");

if (isset($_POST['registrar'])) {
    if (strlen($_POST['username']) > 2 && strlen($_POST['password']) > 6) {
        if ($_POST["password"] === $_POST["password2"]) {
            
        $mail = $_POST['mail'];
        $username = $_POST['username'];
        $password = $_POST['password'];
        $hash = password_hash($password, PASSWORD_DEFAULT);
        $exclusivo2 = 0;
        $torneosJugados = 0;
        $torneosGanados = 0;
        
        $consulta = "INSERT INTO `usuarios`(`mail`, `username`, `password`, `torneosJugados`, `torneosGanados`, `exclusivo`) VALUES ('$mail','$username','$hash','$torneosJugados', '$torneosGanados', '$exclusivo2')";
        $resultado = mysqli_query($conn,$consulta);

Mi base de datos de usuarios mysql es:

  • Id
  • username
  • password

Estos son los datos necesarios, no quiero ahogarlos con codigos que ya funcionan, pero si necesitan mas diganme y lo edito.

Basicamente, mi problema es la verificacion de los hash que estoy haciendo, cuando los mando a encriptar se encriptan facilmente y rapido, no hay problema, eso funciona bien. El problema viene al verificarlo, primero no utilice password_verify, ya que supuse que con solo comparar las contraseñas ya estaria (codigo sencillo, encripto en password que me da el usuario al hacer login y el que ya esta en la base de datos), pero entonces no funciono. Luego busque como loguearse con contraseña encriptada y todos dicen lo mismo "utiliza password verify", bien, utilizo password verify como esta en el codigo que les pase y nada, no funciona, ya intente encriptando la contraseña que me da el usuario, sin encriptarla, comparandolas, separando en procedimientos el metodo de encriptacion (Tomo la contraseña en una variable, tomo la variable y la encripto, lo que yo hago es encriptarla directamente como ven en el codigo), me fije si el varchar era muy corto y lo alargue (primero 255, ahora 600...) tampoco funciono, tambien utilice BLOWFISH, es exactamente lo mismo, le puse salt, no le puse salt, le agregue eso de que tenga un valor de "14" (no recuerdo el nombre, mala mia), y nada funciono.

Sinceramente no se que mas hacer, busque por todos lados y no encontre respuesta, no se porque no se verifican las contraseñas.

Algo que puede ayudar:

Acabo de hacer un echo de las 2 contraseñas que tengo (la que me da el usuario y la que esta registrada en la base de datos) ya encriptadas (ambas con el mismo metodo) y las 2 contraseñas son diferentes, por lo que se esto esta bien, ya que parece ser que el metodo de encriptacion funciona porque 2 contraseñas iguales no daran la misma encriptacion.

Por favor, una ayuda, espero haberme explicado bien, porque de verdad llevo meses con esto y nada, ni un avance.

REPITO: Todo el codigo funciona a la perfeccion, no hay ningun problema con nada mas que co nla verificacion de la contraseña encriptada, el problema es que no quiero utilizar una base de datos sin contraseñas encriptadas, ya que bueno, obvias razones...

EDIT: Tambien, olvide mencionar que el codigo que subi es mi ultimo intento, el select de la contraseña del usuario no lo usaba, pero lo tome para comparar las contraseñas, tampoco los echos y demas. Aqui tienen un ejemplo de 2 contraseñas iguales encriptadas y comparadas (tanto con password verify como una comparacion normal con un if)

  • $2y$10$b7WUwoNWpVI0/j1hKZVtH.dKxhG9rUZhyjPv3XKfaHymqfWrIRm1S
  • $2y$10$ASb4Lh.J6bQZeD6VRCWaRe1hs0aqceZTjoaWcZ2i9YIjmXmvW9Tbu
4
  • Saludos. Verifica la parte password_verify($password, $hash) ya que tienes $password = password_hash($_POST['password'], PASSWORD_DEFAULT); y lo correcto es$password = $_POST['password'];; las comprobación se realizar texto plano contra hash. Commented el 13 sept. 2020 a las 1:00
  • Como lo dije, ya lo hice, no funciona, no se porque, publique esta pregunta porque no se me ocurre que estoy haciendo mal, intente de todas las formas que lei Commented el 13 sept. 2020 a las 1:03
  • Simplemente te estabas ahogando en un vaso de agua. Aquí y también aquí he explicado lo que hay que hacer y algunas cosas que es importante tomar en cuenta cuando trabajas con contraseñas encriptadas. Por ejemplo, si no tienes en cuenta el tamaño del campo o el charset (mencionados en una de las respuestas), puede llegar el momento en que tu código vuelva a fallar y vuelvas a pasarte varios días rompiéndote la cabeza de nuevo, o lo que te haya quedado de ella :-). Saludos.
    – A. Cedano
    Commented el 13 sept. 2020 a las 21:04
  • ¿Responde esto a tu pregunta? Verificar contraseña con PHP y DB?
    – Xerif
    Commented el 14 sept. 2020 a las 11:24

2 respuestas 2

1

Despues de revisar la documentacion de php, sobre las funciones de password_hash() y password_verify() (que yo no uso) me doy cuenta que el problema posiblemente se debe al "salpimentado" de la encripcion de la contraseña, es posible que se este generando una "sal" (salt en ingles) diferente al momento de encriptar y verificar.

Yo uso un metodo diferente (a la vieja escuela) y uso una combinacion de texto, password y "sal" con lo que genero un hash que guardo en la base de datos, pero, independientemente del metodo que uses, primero te debes asegurar de que la base de datos y tu script manejen la misma codificacion (en mi caso UTF8), en segundo lugar debes checar que lo que guardaste es EXACTAMENTE igual a lo que generaste (en lugar de un echo, podrias usar error_log())... Una vez que estes segura de que la codificacion esta correcta y lo guarado en la db es igual a lo generado, deberia de funcionar, en caso de que no funcione, te recomendaria que crearas tu propia funcion para generar el hash y guardarlo.

Espero que esto ayude.

P.D. hay una gran cantidad de funciones en php que tienen ciertas limitaciones (este es un ejemplo) por lo que prefiero el camino largo (mas rapido?) y que no depende de futuras implementaciones o modificaciones de php (otro ejemplo es el manejo de fechas).

3
  • Si, entiendo a que te refieres, inicialmente pensaba en crear mi propio hash como haces tu, pero vi la funcion del password_hash y password_verify y decidi utilizarlo, voy a probar tus ideas y, si no funciona, creare mi propio hash Commented el 13 sept. 2020 a las 13:04
  • Bueno, tu idea no funciono, pero a la vez si, ahora en mi respuesta lo aclaro Commented el 13 sept. 2020 a las 13:15
  • Esta respuesta está errada. El uso de password_hash y password_verify es el mejor camino a seguir para cifrar contraseñas de forma segura utilizando algoritmos fuertes y probados, y no el problema no es la salt. El hash debe ser aleatorio y de sentido unico. Un mismo string haseado 2 veces debe generar 2 hashes diferentes, NO el mismo hash, es uno de los motivos por los que md5 o sha sean vulnerables y desaconsejados. Hay funciones con limitaciones, pero pero cal es la limitación de estas? Y respectos a fechas? Porque el manejo de fechas, intervalos,periodos... en PHP es de los más completos
    – Xerif
    Commented el 14 sept. 2020 a las 11:17
1

Por que no lo haces de la forma que te recomiendo. Código:

session_start();
include ("conexion.php");

if (isset($_POST['ingresar'])) {

  $user = $_POST['username'];
  $pass = $_POST['password'];

  if (empty($user)) {
     echo 'El campo <b>username<\/b> es requerido';
  } elseif (empty($pass)) {
     echo 'El campo <b>password<\/b> es requerido';
  }

  $query = mysqli_query($conn, "SELECT username, password, exclusivo FROM usuarios WHERE username = '".$user."' AND password = '".$pass."'");
  if (password_verify($pass, $query['password'])) {
    #:: Aquí tu código si la contraseña coincide...
  } else {
    echo 'La contraseña no es valida';
  }
}

De esta forma sabemos en que if esta dando el error y lo muestra en pantalla. Intentalo y me comentas que tal.

3
  • 1
    Eso no encripta la contraseña, yo la necesito encriptada, de esa forma lo tenia antes y funcionaba, pero necesito una base de datos con pass encriptado, porque si se filtra la base de datos voy a tener problemas graves Commented el 13 sept. 2020 a las 1:00
  • ademas ya dije que nada de error, absolutamente nada, el codigo funciona perfecto, el problema que tengo es la verificacion de contraseñas encriptadas Commented el 13 sept. 2020 a las 1:04
  • @SilviaManquis al momento de registrar un cuenta se "hashea" la contraseña y se guarda en la base de datos junto al usuario. Luego al momento de logearse (ingresar), se usa password_verify para verificar que la contraseña en texto plano (primer argumento) tenga el mismo hash que el de la base de datos (segundo argumento). No es necesario hashear el primer argumento de password_verify de vuelta porque la misma función lo hace para verificar la contraseña.
    – braver
    Commented el 13 sept. 2020 a las 4:14

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.