1

Estimados mi duda es la siguiente, agradeceria su ayuda y/o orientación.

Tengo un sistema de usuario con 4 tipos de estado para sus cuentas

  • Inactiva: Cuando aún no se valida la cuenta desde el correo electronico
  • Activa: Cuenta ya validada exitosamente
  • Bloqueada: Cuando excede el numero maximo de intentos(3) para inciar sesion
  • Deshabilitada: Cuando se da de baja el usuario o infringe alguna norma

Se ejecuta el siguiente script al hacer login, el cual evalua los difetenes estados y muestra el respectivo mensaje de error.

Mis dudas son especificamente 2

  1. Como puedo evitar la inyección SQL, y evitar el mal uso del formulario de login, es decir alguien que supere los 3 intentos y la cuenta se bloquee y siga intentado iniciar sesión.
  2. Que mensajes deberia mostrar cuando el usuario ingresado es correcto, el estado es Inactivo o Deshabilitada, pero la contraseña es incorrecta

Adjunto es script y estaría agradecido de su orientación

<?php 
session_set_save_handler(new \SessionHandler());
session_start();
include dirname(__FILE__).'/../../logica/conexion/conexion.php';
$con = new Conexion();

$error = '';
if (isset($_POST['submit'])) {
    if (empty($_POST['usuario']) || empty($_POST['clave'])) {
        $error = "Por favor ingrese un usuario y contraseña validos";
    }else{
        $usuario = filter_var(filter_input(INPUT_POST,'usuario'),FILTER_SANITIZE_STRING);
        $clave = filter_var(filter_input(INPUT_POST,'clave'),FILTER_SANITIZE_STRING);   
        $datos = $con->obtenerdatos("correo,clave,nombre,apellido,sid,idusuario,intentos,tiempobloqueo,estado","usuarios","correo = ?",array($usuario));
        if (count($datos) > 0){
            $fila = $datos[0];
            $db_clave = $fila['clave'];
            $intentos = $fila['intentos'];
            if(password_verify($_POST['clave'],$db_clave)){
                switch($fila['estado']){
                    case 'Activa':                      
                        if($intentos <= 2){
                            date_default_timezone_set("America/Santiago");
                            $_SESSION['fecha'] = date("Y-m-d G:i:s");
                            $_SESSION['correo'] = $fila['correo'];
                            $_SESSION['nombre'] = $fila['nombre'];
                            $_SESSION['apellido'] = $fila['apellido'];
                            $_SESSION['idusuario'] = $fila['idusuario'];
                            $_SESSION['sesion-start'] = time();
                            $_SESSION['sesion-expire'] = $_SESSION['sesion-start'] + (15 * 60);     
                            $sessionID = $fila['sid'];                  
                            $actualizar = $con->actualizar("sesion_expira = ?,sid = ?","usuarios","CURRENT_TIMESTAMP > sesion_expira",array(NULL,NULL));
                            (new \SessionHandler())->destroy($sessionID);
                            $_SESSION['sid'] = session_id();
                            $sid = $con->actualizar("sesion_inicia = ?,sesion_expira = ?,sid = ?","usuarios","correo = ?",array(date('Y-m-d H:i:s',$_SESSION['sesion-start']), date('Y-m-d H:i:s',$_SESSION['sesion-expire']), $_SESSION['sid'], $_SESSION['correo']));
                            $numero_intentos = $con->actualizar("intentos = 0","usuarios","correo = ?",[$usuario]);
                            header("location: ../../portal/ordenes");   
                            exit();
                        }
                        break;
                    case 'Inactiva':
                        $error = 'Su cuenta aún no a sido activada, revise su bandeja de correo electrónico donde encontrara el link de activación';
                        break;
                    case 'Deshabilitada':
                        $error = 'Su cuenta se encuentra deshabilitada por haber infringido las normas de nuestro sitio, par más detalles póngase en contacto con [email protected]';
                        break;
                    case 'Bloqueada':
                        $tiempobloqueo = $fila['tiempobloqueo'];
                        $minutos = (time() - strtotime($tiempobloqueo))/60;
                        $minutos = floor($minutos);
                        
                        $error = 'Su cuenta se encuentra temporalmente bloqueada, favor intente nuevamente en '.$minutos.' minutos, si necesita usar nuestro portal pónganse en contacto con [email protected]';
                        break;                  
                }               
            }else{
                switch($fila['estado']){
                    case 'Activa':
                        if($intentos < 2){
                            $numero_intentos = $con->actualizar("intentos = intentos + 1","usuarios","correo = ?",[$usuario]);
                            $intentos_restantes = 2 - $intentos;
                            if($intentos_restantes == 1){
                                $cadena = 'queda '.$intentos_restantes.' intento restante';
                            }else{
                                $cadena = 'quedan '.$intentos_restantes.' intentos restantes';
                            }
                            $error = 'La contraseña ingresada no es valida, '.$cadena;                              
                        }elseif($intentos = 2){
                            $tiempobloqueo = time();
                            date_default_timezone_set("America/Santiago");
                            $fechabloqueo = date('Y-m-d H:i:s',$tiempobloqueo);
                            $numero_intentos = $con->actualizar("intentos = intentos + 1,tiempobloqueo = ?,estado = ?","usuarios","correo = ?",[$fechabloqueo,'Bloqueada',$usuario]);
                            $error = 'Su cuenta ha sido bloqueada temporalmente por un lapso de 30 minutos';                            
                        }
                        break;
                    case 'Inactiva':
                        break;
                    case 'Bloqueada':
                        $error = 'Se a superado el numero maximo de intentos';
                        break;
                    case 'Deshabilitada':
                        break;
                }                   
            }           
        }else{
            $error = "El usuario ingresado no existe";
        }       
    }
}
?>
5
  • El script no presenta errores, mi consulta iba más que nada a que debería añadir para que sea mas seguro el login Commented el 19 abr. 2021 a las 3:34
  • Entonces la pregunta debería ser como hacer más seguro el inicio de sesión? Commented el 19 abr. 2021 a las 3:42
  • Te recomiendo mires la guía de Cómo preguntar a detalle
    – user128299
    Commented el 19 abr. 2021 a las 3:43
  • Esta pregunta seria mejor para el Chat de Stack Overflow en español, ya que lo que estas pidiendo es una discusion sobre formas de login y que hacer en cada caso, lo que llevaria a montones de recomendaciones segun cada caso... no hay una respuesta correcta a lo que pedis.. Por ejemplo, porque decis evitar la inyeccion sql cuando un usuario se bloquea? donde podria inyectar sql para eso? tenes alguna consulta que no sea preparada y parametrizada?
    – gbianchi
    Commented el 19 abr. 2021 a las 3:49
  • 2
    ingresado es correcto, el estado es Inactivo o Deshabilitada, pero la contraseña es incorrecta <- usuario no valido o fallo de login.. sin especificar informacion, nunca debes decir mas de lo que sabe el usuario... si la contraseña es incorrecta no importa el estado, fallo el login...
    – gbianchi
    Commented el 19 abr. 2021 a las 3:51

1 respuesta 1

1

Respondiendo por partes:

  1. Como puedo evitar la inyección SQL, y evitar el mal uso del formulario de login, es decir alguien que supere los 3 intentos y la cuenta se bloquee y siga intentado iniciar sesión.

1a. Parece que estás usando consultas preparadas y eso te ayuda a prevenir inyecciones SQL. Al menos el formulario de ingreso es seguro en ese sentido.

1b. Creo que es más conveniente verificar primero la cantidad de intentos y, de ser el caso, tiempo para desbloqueo; después se revisa contraseña y estado.

Por otra parte, ten en cuenta que no hay sistema 100% seguro y, aunque en la mayoría de los casos de accesos inválidos pueden provenir de usuarios malintencionados o bots, hay que tratar de desanimarlos, intentando bloqueo por sesión, IP o hacer lo mismo que sistemas como Google, que después de varios intentos fallidos incluyen un captcha en el formulario.

  1. Que mensajes debería mostrar cuando el usuario ingresado es correcto, el estado es Inactivo o Deshabilitada, pero la contraseña es incorrecta

Como bien te sugiere @gbianchi en comentarios, siempre que algún dato sea incorrecto, solo muestra mensaje "Usuario o contraseña incorrectos".

Cuando los datos son correctos y el estado:

  1. Activo: Permitir ingreso y redirigir a página correspondiente
  2. Inactivo: Mostrar mensaje de estado e instrucciones para activar o para recibir nuevamente correo con datos para activación
  3. Deshabilitado: Mostrar mensaje de estado e información o formulario de contacto para solicitar aclaración

El código final podría ser algo como:

    // Configurar zona horaria desde el inicio
    date_default_timezone_set("America/Santiago");

    // Crear función para actualizar intentos fallidos
    // Debería estar en el modelo, esto es solo un ejemplo
    function intentoFallido($con, $usuario, $intentos) {
        // Mostrar mensaje de error e inicializar tiempo de bloqueo en cero
        $error = 'Usuario o contraseña inválidos.';
        $tiempobloqueo = 0;
        if($intentos >= 2) {
            // Intentar bloqueo por sesión
            $tiempobloqueo = time() + 1800; // Hora actual + 30 minutos
            $_SESSION['tiempobloqueo'] = $tiempobloqueo;
            $error .= ' Su cuenta ha sido bloqueada temporalmente; podrá volver a intentar hasta: ' . date('d-m-Y H:i', $_SESSION['tiempobloqueo']);
        }
        // Actualizar intentos y tiempo de bloqueo en base de datos
        $fechabloqueo = date('Y-m-d H:i:s', $tiempobloqueo);
        $numero_intentos = $con->actualizar("intentos = intentos + 1, tiempobloqueo = ?, estado = ?", "usuarios","correo = ?",[$fechabloqueo, 'Bloqueada', $usuario]);

       // ¿Evitar que bots o usuarios malintencionados sigan intentando?
       if($intentos >= 5) {
           // Finaliza el script
           // Solo se muestra mensaje de error, sin formulario
           die($error);
       }
       // Devolver mensaje de error
        return $error;
    }

    // El primer paso es verificar bloqueo por sesión
    // Realmente no es muy seguro porque eliminado cookies se puede "saltar"
    // Funcionaría solo para usuarios poco experimentados
    if(isset($_SESSION['tiempobloqueo']) && $_SESSION['tiempobloqueo'] > time()) {
        // Finaliza el script
        // Solo se muestra mensaje de error, sin formulario
        die('Usted ha sido bloqueado temporalmente; podrá volver a intentar hasta: ' . date('d-m-Y H:i', $_SESSION['tiempobloqueo']);
    }

    // Inicializar variable de error
    $error = '';
    // ¿Debe haber un captcha? Por defecto no, hasta verificar cantidad de intentos
    $captcha = false;

    $usuario = filter_var(filter_input(INPUT_POST,'usuario'),FILTER_SANITIZE_STRING);
    $clave = filter_var(filter_input(INPUT_POST,'clave'),FILTER_SANITIZE_STRING);
    $datos = $con->obtenerdatos("correo,clave,nombre,apellido,sid,idusuario,intentos,tiempobloqueo,estado","usuarios","correo = ?",array($usuario));
    if (count($datos) > 0){
        $fila = $datos[0];
        $db_clave = $fila['clave'];
        $intentos = $fila['intentos'];
        
        // Primero verificas cantidad de intentos y si no ha caducado el tiempo de bloqueo
        if($intentos > 2 && strtotime($fila['tiempobloqueo']) > time()) {
            // Ya debería haberse mostrado un captcha
            $captcha = true;
            // Aquí debes validarlo
            if(/* Captcha inválido */) {
                $error = 'Tras varios intentos de acceso fallidos, debe resolver el captcha correctamente';
                // Actualizar intentos fallidos y tiempo de bloqueo
                intentoFallido($con, $usuario, $intentos);
            }
        }
        // Solo si no hay error previo (validación de captcha)
        if($error == '' && password_verify($_POST['clave'], $db_clave)){
            switch($fila['estado']){
                case 'Activa':                      
                    if($intentos <= 2){
                        date_default_timezone_set("America/Santiago");
                        $_SESSION['fecha'] = date("Y-m-d G:i:s");
                        $_SESSION['correo'] = $fila['correo'];
                        $_SESSION['nombre'] = $fila['nombre'];
                        $_SESSION['apellido'] = $fila['apellido'];
                        $_SESSION['idusuario'] = $fila['idusuario'];
                        $_SESSION['sesion-start'] = time();
                        $_SESSION['sesion-expire'] = $_SESSION['sesion-start'] + (15 * 60);     
                        $sessionID = $fila['sid'];

                        // ¿Por qué tres consultas para actualizar mismo usuario?
                        // Puedes hacerlo en una sola
                        $actualizar = $con->actualizar("sesion_expira = ?,sid = ?","usuarios","CURRENT_TIMESTAMP > sesion_expira",array(NULL,NULL));
                        (new \SessionHandler())->destroy($sessionID);
                        $_SESSION['sid'] = session_id();
                        $sid = $con->actualizar("sesion_inicia = ?,sesion_expira = ?,sid = ?","usuarios","correo = ?",array(date('Y-m-d H:i:s',$_SESSION['sesion-start']), date('Y-m-d H:i:s',$_SESSION['sesion-expire']), $_SESSION['sid'], $_SESSION['correo']));
                        $numero_intentos = $con->actualizar("intentos = 0","usuarios","correo = ?",[$usuario]);
                        // Eliminar tiempo de bloqueo en sesión
                        unset($_SESION['tiempobloqueo']);
                        header("location: ../../portal/ordenes");   
                        exit();
                    }
                    break;
                case 'Inactiva':
                    $error = 'Su cuenta aún no a sido activada, revise su bandeja de correo electrónico donde encontrará el link de activación';
                    break;
                case 'Deshabilitada':
                    $error = 'Su cuenta se encuentra deshabilitada por haber infringido las normas de nuestro sitio, para más detalles póngase en contacto con [email protected]';
                    break;
                /*
                 * Este bloque ya no es necesario, se hace la verificación al inicio
                case 'Bloqueada':
                    $tiempobloqueo = $fila['tiempobloqueo'];
                    $minutos = (time() - strtotime($tiempobloqueo))/60;
                    $minutos = floor($minutos);
                    
                    $error = 'Su cuenta se encuentra temporalmente bloqueada, favor intente nuevamente en '.$minutos.' minutos, si necesita usar nuestro portal pónganse en contacto con [email protected]';
                    break;
                 */
            }               
        } else {
            // Solo si no hay error previo y puede ser arriba, con elseif
            if($error == '') {
                $error = intentoFallido($con, $usuario, $intentos);
                // Si ya son 3 intentos o más, se debe mostrar captcha
                if($intentos >= 2) {
                    $captcha = true;
                }
            }
        }           
    } else {
        // Mensaje de error genérico, no especifiques que el usuario no existe
        $error = "Usuario o contraseña inválidos";
    }

Ahora solo falta que en la vista verifiques el valor de $captcha para saber si mostrarlo o no; por ejemplo:

// Solo si existe la variable y es verdadera
if(!empty($captcha)) {
    // Agregar código necesario para mostrar captcha en formulario
}

Para terminar, solo aclarar algunos puntos:

  1. Tratar de bloquear por sesión o IP funcionará solo para usuarios poco experimentados, porque usuarios avanzados y bots podrán saltar fácilmente estas restricciones
  2. El uso de captcha es porque si un usuario malintencionado está tratando de ingresar a una cuenta que no le pertenece y esta se bloquea, cuando el usuario real quiera acceder estaría obligado a esperar a que finalice el tiempo de bloqueo. De cualquier forma, si sigue intentando, se pone un límite para mostrar solo mensaje, sin formulario
1
  • cuando mencionas que oculte el formulario, en que parte debo hacerlo, ya que el formulario de login esta en un archivo y el login.php esta en otro, que es el action que tiene definido el form Commented el 27 abr. 2021 a las 6:12

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.