0

Estoy haciendo una app a la que van a acceder varias personas y necesito un sistema de login en condiciones ya que en principio la idea es que sea público aunque controlado ya que no se va a poder registrar cualquiera, los registros se realizan manualmente por la administración de la app. Me gustaría consultar como de seguro es y en que se puede mejorar.

login.php

  session_start(); if(isset($_SESSION['id']) OR isset($_COOKIE['id'])) header('Location: /app');
  include '../../db.php'; $mensaje = 0;

  if(isset($_POST['user']) && isset($_POST['pass'])) {
    $user = $_POST['user']; $pass = $_POST['pass'];
    $sql_user = "SELECT * from users WHERE users_user LIKE '%{$user}%'";
    $consulta_user = mysqli_query($con, $sql_user);
    $filas_user = mysqli_num_rows($consulta_user);

    if($filas_user !== 0) {
      $mostrar_user = mysqli_fetch_array($consulta_user);
      $passHash = $mostrar_user['users_pass'];

      if(password_verify($pass, $passHash)) {
        $id = $mostrar_user['users_id'];
        $_SESSION['id'] = $id;
        $_SESSION['user'] = $mostrar_user['users_user'];
        $_SESSION['nombre'] = $mostrar_user['users_nombre'];
        $_SESSION['email'] = $mostrar_user['users_email'];

        if($_POST['recordar'] == 1) {
          setcookie('id', $id, time() + 365 * 24 * 60 * 60);
          setcookie('user', $mostrar_user['users_user'], time() + 365 * 24 * 60 * 60);
          setcookie('nombre', $mostrar_user['users_nombre'], time() + 365 * 24 * 60 * 60);
          setcookie('email', $mostrar_user['users_email'], time() + 365 * 24 * 60 * 60);
        }
        
        $sql_control = "UPDATE users SET users_fechau = NOW() WHERE users_id = $id";
        mysqli_query($con, $sql_control);

        header('Location: /app');
      } else $mensaje = 1;
    } else $mensaje = 1;
  }

Cualquier aporte es bienvenido.

4
  • Esto se va a desplegar usando un certificado emitido por una CA pública? Cual es la arquitectura de despliegue de la aplicación que usa este login? Cómo se controla el acceso a la administración del servidor donde se instala esta aplicación? Todo esto y más, hace parte de "hacer segura la aplicación y restringir el acceso a las cosas que ve un usuario autenticado". Sobre la cookie, yo revisaría si queda httponly, si se crea secure o no, qué algoritmo se está usando para hacer hash de la contraseña,... hacerle review al código sin un problema específico termina con opiniones, como puedes ver.
    – Alfabravo
    Commented el 1 dic. 2021 a las 21:58
  • Además de lo mencionado por Alfabravo, le recomiendo que busque sobre el tema de Inyección SQL y cómo evitarlo en PHP, por cierto, la función mysqli_query padece de ese problema (aunque en la doc en español no lo mencionan).
    – eniel.rod
    Commented el 1 dic. 2021 a las 22:11
  • Vulnerable a inyección SQL en la consulta user, no debes usar la variable $user tal cual dentro de la query. Y espero que en la app no te valga con la cookie para estar logueado, porque entonces cualquiera puede acceder, usando una cookie creada a mano. Los datos de la sesión deben de estar sólo en el lado del servidor. Commented el 1 dic. 2021 a las 22:52
  • He eliminado las cookies ya que no me son necesarias y por ahora no se va usar. El hash de las contraseñas se crea con password_hash($pass, PASSWORD_DEFAULT); (60 caracteres) Commented el 2 dic. 2021 a las 18:52

1 respuesta 1

0

Primero: Tienes un error de lógica ya que estas obteniendo el usuario con un like

Imagina lo siguiente: digamos que en el campo usuario yo solo escribo una letra a esto devolverá todos los usuarios que tengan una letra a en el campo users_user. entones como se con que usuario estoy accediendo?

Segundo : Digamos que solucionas el error quitando el like y poniendo en su lugar un =. Ahora tienes el segundo problema. inyecciones SQL

Un ejemplo rapido de un inyeccion SQL: Digamos que tu código queda de la siguiente manera:

$user = $_POST['user'];
$pass = $_POST['pass'];
$sql_user = "SELECT * from users WHERE users_user = '$user'";

Bastaría únicamente escribir en el <input name="user"> lo siguiente ' or 1 = 1 esto daría como resultado el primer usuario de tu tabla la sentencia SQL quedaria de la siguiente manera.

  // recuerda que el valor que escribio el usuario  es  ' or 1 = 1
  $user = $_POST['user'];
  $pass = $_POST['pass'];
  //esta seria tu sentencia original
  $sql_user = "SELECT * from users WHERE users_user = '$user'";
  
  // esto seria lo que llegaria a mySQL
  
  SELECT * from users WHERE users_user = '' or 1 = 1

Este es un ejemplo muy muy básico. pero las inyecciones SQL pueden ser FATALES para tu sistema.

Como recomendaciones:

  • Utiliza Sentencias Preparadas
  • Utiliza correos electrónicos como nombres de usuario así podrás verificar que realmente se una persona la que esta intentando logear.
  • Sanitizacion de datos (remueve caracteres ilegales como ' " )
2
  • Buenas, he reemplazado el LIKE por =, además he hecho el test de la inyección SQL y me lanza el siguiente error: Fatal error: Uncaught TypeError: mysqli_num_rows(): Argument #1 ($result) must be of type mysqli_result, mysqli_num_rows(false) #1 {main}. Sucede siempre que añado a un campo las comillas simples o las dobles (' ó "). Commented el 2 dic. 2021 a las 18:46
  • Escapa el valor entonces $sql_user = "SELECT * from users WHERE users_user = \"$user\"";
    – Aleman
    Commented el 3 dic. 2021 a las 7:28

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.