2

Cuando el usuario ingresa correctamente con los datos de acceso al sistema este registra en la base datos intentos fallidos en las siguientes tablas.

failed_attempt En esta tabla se contabiliza todo intento fallido tanto como usuario registrado o no registrado todo intento fallido se contabiliza.

introducir la descripción de la imagen aquí

failed_login En esta tabla se registra intentos fallidos de un usuario que se encuentra registrado en el sistema obteniendo su id -> id_user

introducir la descripción de la imagen aquí

No debería registrar en las tablas intentos fallidos, porque el usuario ingreso los datos correctos y accedió al sistema por lo tanto no debería registrar intentos fallidos.

Los intentos fallidos se debe registrar cuando se envía datos en blanco, cuando se introduce un usuario que no existe, cuando se introduce un usuario correcto y una contraseña errónea. Todo esto funciona correctamente, el error se presenta al acceder correctamente al sistema registra intentos fallidos cuando no debería porque se esta accediendo al sistema correctamente.

El segundo error se presenta en la session al parecer la session se está destruyendo o no se está validando correctamente cuando el usuario ingresa los datos correctamente en el login (login.php) este es redireccionado a la página principal (index.php) todo parece estar perfecto pero no lo es.

Porque al modificar la Urls o al dar clic en el enlace <a href="login.php">Iniciar Sesión</a> para acceder a la página login.php puedo acceder al login y no debería poder ingresar al login porque ya he iniciado sesión debería redireccionarme nuevamente a la página principal pero no lo hace.

index.php

<?php
    session_start();
    /*if(!isset($_SESSION["id_user"])) {
        header("location:login.php");
    }*/

    function logged_in(){
        return (isset($_SESSION['id_user'])) ? true : false;
    }
?>
<!doctype html>
<html lang="en">
<head>
</head>
<body>
    <div class="boton">
    <?php
      if (logged_in() === true){
        echo "Usuario logueado";
      }else{
        echo "usuario no logueao";
       }
    ?>
    </div>
    <div><a href="login.php">iniciar sesion</a></div>
</body>
</html>

login.php

<?php
session_start();
if (isset($_POST)) {
    $message= $username =  $password = $usernameBD = $passwordDB = NULL;
    $captcha = true;
    //indicador usuario logueado
    $logueado = false;
    //Nro intentos permitidos para IP
    $attemptsIP = 8;
    //Nro intentos permitidos para Usuario
    $attemptsU = 5;

    if(isset($_POST) && isset($_POST["vcode"]) && $_POST["vcode"]!=$_SESSION["vcode"]) {
    $captcha = false;
    $message = "Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.";
  }else{
    unset($_SESSION['id_user']);
  }

  $addres = $_SERVER['REMOTE_ADDR'];

  //Conexión -> SQL
  require_once'app/php/config.ini.php';
  //Bloqueamos la ip por un día
  $stmtA = $con->prepare("SELECT attempts FROM failed_attempt WHERE ip=? AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 1 DAY ) AND NOW()");

  $stmtA->bind_param("s",$addres);
  $stmtA->execute();
  $stmtA->store_result();

  //Variable para saber si existe registro o no para insert o update.
  $check_result = $stmtA->num_rows;
  if ($stmtA->num_rows===1) { 
  //if ($stmtA->num_rows>0) {
    //Obtenemos datos para comparar intentos y para resetear intentos por su ultimo fecha.
    $stmtA->bind_result($failed_login_attempt);
    $stmtA->fetch();
    $stmtA->close();
  } else {
    $stmtA->close();
    $failed_login_attempt=0;
  }

  if(count($_POST)>0 && $captcha == true) {
    $username = $_POST["username"] ?: '';
    $password = $_POST["password"] ?: '';    

    //Buscar usuario ingresado - INICIO
    $stmtB = $con->prepare("SELECT id_user,username,password,logindatetime, CASE WHEN logindatetime BETWEEN DATE_SUB( NOW() , INTERVAL 2 MINUTE ) AND NOW() THEN '1' ELSE '0' END as logueado FROM users where username=? AND active=? LIMIT 1");
    $stmtB->bind_param("si",$username,$active);
    $active=1;
    $stmtB->execute();
    $stmtB->store_result();
    if ($stmtB->num_rows===1) {
        $stmtB->bind_result($id_userBD,$usernameBD,$passwordDB,$logindatetime,$activeBD);
        if ($stmtB->fetch()){
            if (password_verify($password, $passwordDB)) {
                $check_password = true;
            } else {
                $check_password = false;
            }
        } $stmtB->close();
      } else {
        $stmtB->close();
        $check_password = false;
      }

      //Buscar usuario ingresado - FIN

      //registra intentos de login segun IP - INICIO
      //if ($check_username == false) { 

      if($check_result===0){

        //Si es su primer intento fallido, incluimos el primer registro en la BD
        $stmtC = $con->prepare("INSERT INTO failed_attempt (ip,attempts,datetime) VALUES (?, ?, NOW())");
        $stmtC->bind_param("si",$addres,$attempts);

        $attempts = 1;
        //$datetime = date('Y-m-d  H:i:s', time());
        $stmtC->execute();
        $stmtC->close();

      } else {
        //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado

        if($failed_login_attempt<$attemptsIP){
          $accountant = $failed_login_attempt + 1; 

          $stmtD = $con->prepare("UPDATE failed_attempt SET attempts=?, datetime=NOW() WHERE ip = ?");
          $stmtD->bind_param("is",$accountant,$addres); 

          //$datetime = date('Y-m-d  H:i:s', time());
          $stmtD->execute();
          $stmtD->close();
      }
  }
//}
      //registra intentos de login segun IP - FIN

      //VALIDANDO DOBLE LOGUEO

      if ($username==$usernameBD && $check_password == true && $logindatetime!=NULL && $activeBD==1) {
        $logueado = true;
      } else {
        //registra intentos segun usuario - INICIO
        $attempU = 0;

        if($usernameBD!= null && $usernameBD!=''){

            $id_user = $id_userBD;

            //Sentencia
            $stmtE = $con->prepare("SELECT attempts FROM failed_login WHERE id_user =? AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 15 MINUTE ) AND NOW() ");
            $stmtE->bind_param("i",$id_user);
            $stmtE->execute();
            $stmtE->store_result();
            $queryResult = $stmtE->num_rows;

            if ($queryResult===0) {
                $stmtF = $con->prepare("INSERT INTO failed_login (id_user, attempts, ip, datetime) VALUES (?, ?, ?, NOW())"); 
                $stmtF->bind_param("iis",$id_user,$attempts,$addres); 
                $attempts=1; 
                $stmtF->execute(); 
                $stmtF->close();
            } else {
                $stmtE->bind_result($attempU_BD);
                $stmtE->fetch();

                $attempU = $attempU_BD+1;

                if ($attempU_BD<$attemptsU) {
                    $stmtG = $con->prepare("UPDATE failed_login SET attempts=?, ip = ?, datetime=NOW() where id_user =?");
                    $stmtG->bind_param("isi",$attempU,$addres,$id_user);
                    $stmtG->execute();
                    $stmtG->close(); 
                }

            } $stmtE->close();
        }
        //registra intentos segun usuario - FIN     
      }  

      //validando Usuario y Contraseña - INICIO

      if (empty($username) || empty($password)) {
        $message = "Es necesario introducir un nombre de usuario y contraseña";
      } elseif($failed_login_attempt>=$attemptsIP){
        $message = "'IP' bloqueada por 1 dia";
      } elseif($logueado){
        $message = "'Usuario' ya se encuentra logueado.";
      } elseif($attempU>=$attemptsU){
        $message = "'Usuario' bloqueado por 15 minutos";
      } elseif ($username != $usernameBD ) {
        $message = "El 'Usuario' que has introducido no coincide. ";
      } elseif ($check_password == false) {        
        $message = "Tu 'Contraseña' introducido no coincide. ";
      } else {
        $_SESSION["id_user"] = $id_userBD;
        //$con->query("DELETE FROM failed_attempt WHERE ip = '$addres'");
        //$con->query("DELETE FROM failed_login WHERE id_user ='$id_user'");
      }
      //validando Usuario y Contraseña - FIN
      if(isset($_SESSION["id_user"])) {
        //echo '<script>window.location="index.php"</script>';
        header('location:index.php');exit;
      }

    }
  }
?>

Nota: Al ingresar correctamente al sistema y al acceder al login.php que no debería poder porque ya he iniciado sesión al volver nuevamente a la página principal me muestra el mensaje no logueado se está perdiendo o destruyendo la session no debería porque no existe aún el código para destruir la session

8
  • Me pierdo un poco en la lógica de tu login.php. ¿Qué es lo que se ejecuta cuando el usuario se loguea correctamente, el código a partir de $addres = $_SERVER['REMOTE_ADDR'];? Luego, dices en comentario del código que usas esto: if ($stmtA->num_rows===1) {, para evaluar si existen registros. Pero esa comparación no es real, ya que si existe más de una fila que cumple el criterio de la consulta el código correrá como si no existiesen registros.
    – A. Cedano
    Commented el 26 sept. 2017 a las 9:26
  • Es que lamentablemente no puedo ponerme a analizar un proyecto completo, mucho menos si es algo extenso... podría tardar días, meses, años, comprender la lógica de un programa que no has hecho. Yo te recomiendo que evalúes siempre lo que ocurre en tu código y que vayas depurando, imprimiendo los valores de las variables, etc y que siempre escribas un código controlado, es decir, que nunca asumas que algo va a funcionar por que sí, a veces el código falla por una tontería, porque el programador asume que la variable $x debe valer 1 y resulta que por algún motivo $x vale 100 o es null.
    – A. Cedano
    Commented el 26 sept. 2017 a las 9:35
  • @A.Cedano No es extenso amigo solo son 3 tablas de la base de datos y el login que es el principal y el index nada más lo puedes ejecutar solo para que puedas comprobar ciertas cosas como por ejemplo el usuario inicia sesión en el sistema porque no se redirecciona a la página principal cuando tratas de ingresar al login.php. No se con exactitud el código no soy el completo autor yo sólo empece el sistema algo simple como este sistema pero se fue avanzando en el
    – J. Mick
    Commented el 26 sept. 2017 a las 9:41
  • @A.Cedano Exacto amigo estoy de acuerdo en lo que me indicas pero ya he hecho al revés y a derecho todo cambio y prueba y no doy con el error, a simple vista si observamos la session del login está correcto ingresas con los datos correctos te redirecciona a la pagina principal ya esta logueado el usuario pero puedo acceder al login cuando no debería porque estoy logueado debería redireccionar nuevamente a la pagina principal porque yo ya he iniciado sesión pero no lo hace?
    – J. Mick
    Commented el 26 sept. 2017 a las 9:49
  • Lo que no estas validando es que si el usuario esta logueado, siempre vaya a la pagina principal. Podrias usar algo asi al principio de tu login, if ($login->isUserLoggedIn() == true) { header("location: principal.php"); }
    – Alvarez
    Commented el 26 sept. 2017 a las 11:41

2 respuestas 2

3

login.php

No debería registrar en las tablas intentos fallidos, porque el usuario ingreso los datos correctos y accedió al sistema por lo tanto no debería registrar intentos fallidos.

Culpable: if($usernameBD!= null && $usernameBD!=''){

En esta línea estas comparando si $usernameBD es diferente a NUll, es decir, si esta iniciado, continua e insértame el fallo.

Ahora piensa cuando inicias sesión y pones correcto tus datos, tu sentencia crea $usernameBD, ya que dicha variable se obtiene desde de tu sentencia en caso de que existe el usuario en la comparación de tu SELECT, vincula a $usernameBD desde la Base de datos, entonces siempre te va insertar el fallo si pones correctamente el usuario, porque $usernameBD sí existe también en su caso.

Para corregir dicho error, sustituye la línea de arriba por esto:

if($check_username==true && $check_password == false){

Es decir, aquí estamos diciendo si el nombre de usuario es correcto pero la contraseña es falsa, insértame el fallo, así evitaras cuando inicias sesión correctamente que no te inserte el fallo.

Nota: $check_username No existe aún en tu código, deberás introducirlo de la siguiente forma:

if ($stmtB->num_rows===1) {
        $stmtB->bind_result($id_userBD,$usernameBD,$passwordDB,$logindatetime,$activeBD);
        if ($stmtB->fetch()){

          //Usuario existe, creo variable de existencia //////////////////////////
          $check_username = true;
          ///////////////////////////////////////////////////////////////////////

            if (password_verify($password, $passwordDB)) {
                $check_password = true;
            } else {
                $check_password = false;
            }
        } $stmtB->close();
      } else {
        $stmtB->close();
        //Caso falso, Usuario no existe//////////////////////
        $check_username = false;
        ////////////////////////////////////////////////////
        $check_password = false;
      }

A tu segundo fallo.

Para evitar el doble login, no veo en tu código que creas la sentencia donde actualizas la fecha de inicio sesión en login.php.

Prueba a ver en añadir lo siguiente a tu código a ver si te funciona así y te manda mensaje de ya se ha iniciado sesión:

  //validando Usuario y Contraseña - FIN
  if(isset($_SESSION["id_user"])) {

    //Vamos a probar añadir un datetime al usuario cuando inicia sesión, para asi saber si esta iniciado o no, sino sera dificil de saber si alguien esta iniciado sesión :).

    //Actualizamos el logindatetime cuando usuario inicia sesión.
    $stmtU = $con->prepare("UPDATE users SET logindatetime = NOW() WHERE id_user=?");
    $stmtU->bind_param("i",$id_userBD);
    $stmtU->execute();
    $stmtU->close();

    echo '<script>window.location="index.php"</script>';        
  }

Inicie sesión desde dos navegadores diferentes para hacer la prueba, y en el segundo me muestro el mensaje de la imagen:

introducir la descripción de la imagen aquí

Hice la prueba en localhost, con tu index.php tal cual, sin modificarla.

Respuesta a tu comentario: (failed_attempt)

Tu constructor if($check_result===0){(toda su información)} debe ir dentro de este nuevo que voy a dejar en el ejemplo de abajo if ($check_username == false OR $check_password==false) {, es decir, si el usuario es falso o la contraseña es falso, ingresa un intento en failed_attemp

//Buscar usuario ingresado - FIN

//registra intentos de login segun IP - INICIO
if ($check_username == false OR $check_password==false) { 

    if($check_result===0){

          //Si es su primer intento fallido, incluimos el primer registro en la BD
          $stmtC = $con->prepare("INSERT INTO failed_attempt (ip,attempts,datetime) VALUES (?, ?, NOW())");
          $stmtC->bind_param("si",$addres,$attempts);

          $attempts = 1;
          //$datetime = date('Y-m-d  H:i:s', time());
          $stmtC->execute();
          $stmtC->close();

   } else {
          //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado

          if($failed_login_attempt<$attemptsIP){
            $accountant = $failed_login_attempt + 1; 

            $stmtD = $con->prepare("UPDATE failed_attempt SET attempts=?, datetime=NOW() WHERE ip = ?");
            $stmtD->bind_param("is",$accountant,$addres); 

            //$datetime = date('Y-m-d  H:i:s', time());
            $stmtD->execute();
            $stmtD->close();
          }
   }
}
//registra intentos de login segun IP - FIN
7
  • Se ha solucionado el intento fallido al ingresar correctamente ya no registra en la tabla failed_login pero si registra en failed_attempt y no debería tampoco registrar intento fallido en failed_attempt porque al igual se esta ingresando correctamente al sistema.
    – J. Mick
    Commented el 27 sept. 2017 a las 0:19
  • @J.Mick te he actualizado mi respuesta, te he dejado al final la respuesta para solucionar el problema de failed_attempt. Te había enviado por el chat el código completo. Ya me comentas, saludos amigo.
    – D.Bulten
    Commented el 27 sept. 2017 a las 0:41
  • Hola @D.Bulten , ha pasado mucho tiempo, y hoy en mi baúl de recuerdos estaba dando uso de este sistema, y no me funciona el registro en la tabla del logindatetine has mencionado que no estaba actualizando o registrando en lo que indicas en: Para evitar el doble login, no veo en tu código que creas la sentencia donde actualizas la fecha de inicio sesión en login.php.
    – J. Mick
    Commented el 27 ago. 2018 a las 21:50
  • Pero ya me olvidé del proceso, donde debo agregar ese código, en que parte puedes decirme por favor :)
    – J. Mick
    Commented el 27 ago. 2018 a las 21:50
  • 1
    @J.Mick ya te lo he enviado a tu correo electrónico mediante WeTransfer, un saludo.
    – D.Bulten
    Commented el 28 ago. 2018 a las 0:22
0

Algo asi:

El html

<?php
    session_start();
    /*if(!isset($_SESSION["id_user"])) {
        header("location:login.php");
    }*/

    function logged_in(){
        if(!isset($_SESSION['id_user'])){
  header("location: login.php");
exit;
}
    }
?>
<!doctype html>
<html lang="en">
<head>
</head>
<body>
    <div class="boton">
    <?php
      if (logged_in() === true){
        echo "Usuario logueado";
      }else{
        echo "usuario no logueao";
       }
    ?>
    </div>
    <div><a href="login.php">iniciar sesion</a></div>
</body>
</html>

El login:

if(isset($_SESSION["id_user"])) {
        //echo '<script>window.location="index.php"</script>';
  header('location:index.php');exit;
}else{
  if (isset($_POST)) {
    $message= $username =  $password = $usernameBD = $passwordDB = NULL;
    $captcha = true;
    //indicador usuario logueado
    $logueado = false;
    //Nro intentos permitidos para IP
    $attemptsIP = 8;
    //Nro intentos permitidos para Usuario
    $attemptsU = 5;

    if(isset($_POST) && isset($_POST["vcode"]) && $_POST["vcode"]!=$_SESSION["vcode"]) {
      $captcha = false;
      $message = "Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.";
    }else{
      unset($_SESSION['id_user']);
    }

    $addres = $_SERVER['REMOTE_ADDR'];

  //Conexión -> SQL
    require_once'app/php/config.ini.php';
  //Bloqueamos la ip por un día
    $stmtA = $con->prepare("SELECT attempts FROM failed_attempt WHERE ip=? AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 1 DAY ) AND NOW()");

    $stmtA->bind_param("s",$addres);
    $stmtA->execute();
    $stmtA->store_result();

  //Variable para saber si existe registro o no para insert o update.
    $check_result = $stmtA->num_rows;
    if ($stmtA->num_rows===1) { 
  //if ($stmtA->num_rows>0) {
    //Obtenemos datos para comparar intentos y para resetear intentos por su ultimo fecha.
      $stmtA->bind_result($failed_login_attempt);
      $stmtA->fetch();
      $stmtA->close();
    } else {
      $stmtA->close();
      $failed_login_attempt=0;
    }

    if(count($_POST)>0 && $captcha == true) {
      $username = $_POST["username"] ?: '';
      $password = $_POST["password"] ?: '';    

    //Buscar usuario ingresado - INICIO
      $stmtB = $con->prepare("SELECT id_user,username,password,logindatetime, CASE WHEN logindatetime BETWEEN DATE_SUB( NOW() , INTERVAL 2 MINUTE ) AND NOW() THEN '1' ELSE '0' END as logueado FROM users where username=? AND active=? LIMIT 1");
      $stmtB->bind_param("si",$username,$active);
      $active=1;
      $stmtB->execute();
      $stmtB->store_result();
      if ($stmtB->num_rows===1) {
        $stmtB->bind_result($id_userBD,$usernameBD,$passwordDB,$logindatetime,$activeBD);
        if ($stmtB->fetch()){
          if (password_verify($password, $passwordDB)) {
            $check_password = true;
          } else {
            $check_password = false;
          }
        } $stmtB->close();
      } else {
        $stmtB->close();
        $check_password = false;
      }

      //Buscar usuario ingresado - FIN

      //registra intentos de login segun IP - INICIO
      //if ($check_username == false) { 

      if($check_result===0){

        //Si es su primer intento fallido, incluimos el primer registro en la BD
        $stmtC = $con->prepare("INSERT INTO failed_attempt (ip,attempts,datetime) VALUES (?, ?, NOW())");
        $stmtC->bind_param("si",$addres,$attempts);

        $attempts = 1;
        //$datetime = date('Y-m-d  H:i:s', time());
        $stmtC->execute();
        $stmtC->close();

      } else {
        //se actualiza mientras el nro de intentos este abierto, para evitar bug con calculo del dia bloqueado

        if($failed_login_attempt<$attemptsIP){
          $accountant = $failed_login_attempt + 1; 

          $stmtD = $con->prepare("UPDATE failed_attempt SET attempts=?, datetime=NOW() WHERE ip = ?");
          $stmtD->bind_param("is",$accountant,$addres); 

          //$datetime = date('Y-m-d  H:i:s', time());
          $stmtD->execute();
          $stmtD->close();
        }
      }
//}
      //registra intentos de login segun IP - FIN

      //VALIDANDO DOBLE LOGUEO

      if ($username==$usernameBD && $check_password == true && $logindatetime!=NULL && $activeBD==1) {
        $logueado = true;
      } else {
        //registra intentos segun usuario - INICIO
        $attempU = 0;

        if($usernameBD!= null && $usernameBD!=''){

          $id_user = $id_userBD;

            //Sentencia
          $stmtE = $con->prepare("SELECT attempts FROM failed_login WHERE id_user =? AND datetime BETWEEN DATE_SUB( NOW() , INTERVAL 15 MINUTE ) AND NOW() ");
          $stmtE->bind_param("i",$id_user);
          $stmtE->execute();
          $stmtE->store_result();
          $queryResult = $stmtE->num_rows;

          if ($queryResult===0) {
            $stmtF = $con->prepare("INSERT INTO failed_login (id_user, attempts, ip, datetime) VALUES (?, ?, ?, NOW())"); 
            $stmtF->bind_param("iis",$id_user,$attempts,$addres); 
            $attempts=1; 
            $stmtF->execute(); 
            $stmtF->close();
          } else {
            $stmtE->bind_result($attempU_BD);
            $stmtE->fetch();

            $attempU = $attempU_BD+1;

            if ($attempU_BD<$attemptsU) {
              $stmtG = $con->prepare("UPDATE failed_login SET attempts=?, ip = ?, datetime=NOW() where id_user =?");
              $stmtG->bind_param("isi",$attempU,$addres,$id_user);
              $stmtG->execute();
              $stmtG->close(); 
            }

          } $stmtE->close();
        }
        //registra intentos segun usuario - FIN     
      }  

      //validando Usuario y Contraseña - INICIO

      if (empty($username) || empty($password)) {
        $message = "Es necesario introducir un nombre de usuario y contraseña";
      } elseif($failed_login_attempt>=$attemptsIP){
        $message = "'IP' bloqueada por 1 dia";
      } elseif($logueado){
        $message = "'Usuario' ya se encuentra logueado.";
      } elseif($attempU>=$attemptsU){
        $message = "'Usuario' bloqueado por 15 minutos";
      } elseif ($username != $usernameBD ) {
        $message = "El 'Usuario' que has introducido no coincide. ";
      } elseif ($check_password == false) {        
        $message = "Tu 'Contraseña' introducido no coincide. ";
      } else {
        $_SESSION["id_user"] = $id_userBD;
        //$con->query("DELETE FROM failed_attempt WHERE ip = '$addres'");
        //$con->query("DELETE FROM failed_login WHERE id_user ='$id_user'");
      }
      //validando Usuario y Contraseña - FIN

    }
  }
}
?>

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.