1

Cuando ejecuto con un usuario y contraseña me indica que está mal.

Tabla Usuario:

  • UserName - varchar(50)
  • Llave - varbinary(8000)
  • Nombres - varchar(50)
  • DNI - varchar(8)

Procedimiento para login:

CREATE PROCEDURE [dbo].[LoginUsuario]
@username nVARCHAR(50),
@llave nVARCHAR(50),
@mensaje VARCHAR(100) out
AS


BEGIN
    IF EXISTS(SELECT username FROM dbo.Usuario WHERE userName = @username AND Llave=@llave)
    SET @mensaje='Usuario Correctos , Bienvenido';

    ELSE
    BEGIN
        SET @mensaje='Error Verifique sus Datos';
    END 
END

Procedimiento para registrar usuario:

Create PROCEDURE [dbo].[RegistrarUsuario] 
    @username VARCHAR(50)
    ,@llave VARCHAR(MAX)
    ,@nombres VARCHAR(500)
    ,@dni VARCHAR(8)
AS
BEGIN
    INSERT INTO Usuario (
        UserName
        ,Llave
        ,Nombres
        ,DNI
        )
    VALUES (
        @username
        ,ENCRYPTBYPASSPHRASE('password', @llave)
        ,@nombres
        ,@dni
        )
END

Registro de usuario:

introducir la descripción de la imagen aquí

Capa dato:

public void Ejecutar_sp(String NombreSp,List<Cls_Parametros> lst)
{
    SqlCommand cmd;

    try
    {
        abrir_conexion();
        cmd = new SqlCommand(NombreSp, conexion);
        cmd.CommandType = CommandType.StoredProcedure;
        if(lst !=null)
        {
            for(int i=0; i< lst.Count; i++)
            {
                //Verificando el tipo de entrada 
                if(lst[i].Direccion==ParameterDirection.Input)
                {
                    cmd.Parameters.AddWithValue(lst[i].Nombre, lst[i].Valor);
                }   

                //Verificando de tipo Salida

                if(lst[i].Direccion == ParameterDirection.Output)
                {
                    cmd.Parameters.Add(lst[i].Nombre, lst[i].TipoDato, lst[i].Tamaño).Direction = ParameterDirection.Output;
                }
            }
            cmd.ExecuteNonQuery();

            //Recuperamos  los valores de nuestra Salida

            for (int i = 0; i < lst.Count; i++)
            {
                if(cmd.Parameters[i].Direction==ParameterDirection.Output)
                {
                    lst[i].Valor = cmd.Parameters[i].Value.ToString();
                }
            }
        }

    }
    catch(Exception ex)
    {
        throw ex;
    }

    Cerrar_Conexion();
}

Capa negocio:

public class Cls_Login
{
    public String m_username { get; set; }
    public String m_llave { get; set; }

    Cls_Conexion M = new Cls_Conexion();

    //Verificar para el ingreso de Login

    public String Login()
    {
        String msj = "";
        List<Cls_Parametros> lst = new List<Cls_Parametros>();
        try
        {
            //Pasamos los parametros de entrada

            lst.Add(new Cls_Parametros("@username",m_username));
            lst.Add(new Cls_Parametros("@llave",m_llave));

            //Parametro de salida

            lst.Add(new Cls_Parametros("@mensaje",SqlDbType.VarChar,100));

            M.Ejecutar_sp("LoginUsuario",lst);

            //Recuperamos la variable de salida

            msj=lst[2].Valor.ToString();

        }
        catch(Exception ex)
        {
            throw ex;
        }
        return msj;
    }

}

Presentación:

private void btnIngresar_Click(object sender, EventArgs e)
{
    String msj = "";
    try
    {
        LG.m_username = txtUsuario.Text;
        LG.m_llave = txtPassword.Text;

        msj = LG.Login();
        MessageBox.Show(msj);

    }
    catch(Exception ex)
    {
        MessageBox.Show(ex.Message);
    }

}
12
  • Hola Pierro. No es relacionado a tu pregunta, pero deseo comentarte que no es buena práctica de tener bloques catch que no hacen nada si no volver a lanzar la excepción. Además, si vas a relanzar la excepción, no lo hagas con throw ex, ya que eso causa que se pierda toda la información de la pila de llamadas de la excepción. Mas bien, la forma correcta de relanzar una excepción es simplemente throw;.
    – sstan
    el 26 feb. 2017 a las 15:13
  • Otro comentario en cuanto a buenas prácticas: no es recomendable de manejar la conexión como una variable global. En un ambiente multi usuario, como bien pudiera ser tu caso, esto puede causar problemas serios.
    – sstan
    el 26 feb. 2017 a las 15:15
  • Podrías modificar tu pregunta y agregar la definición de tu procedimiento almacenado LoginUsuario
    – Davlio
    el 26 feb. 2017 a las 16:05
  • @sstan muchas gracias por las recomendaciones soy nuevo en c# y estoy viendo codigos o tutoriales de youtube para aprender y bueno encontre que decian que asi se debe de realizar pero bueno muchas gracias por las recomendaciones de todo corazon
    – PieroDev
    el 26 feb. 2017 a las 16:16
  • @Davlio ya edite y puse mi procedimiento almacenado que realiza para el logeo en sql server
    – PieroDev
    el 26 feb. 2017 a las 16:17

2 respuestas 2

4

Para poder incluir una validación de un VARBINARY se debe realizar inicialmente un casteo para que finalmente tu condición quede de la siguiente forma:

WHERE 
    userName = @username 
    AND CONVERT(VARCHAR(128), DECRYPTBYPASSPHRASE('password', Llave)) = @llave)

Ahora, modifiqué un poco tu Stored Procedure, nota que quité el parámetro mensaje, no es necesario ya que de una o de otra forma vas a regresar un mensaje:

CREATE PROCEDURE [dbo].[LoginUsuario] @username NVARCHAR(50)
    ,@llave NVARCHAR(50)
AS
BEGIN
    IF EXISTS (
            SELECT username
            FROM dbo.Usuario
            WHERE userName = @username
                AND CONVERT(VARCHAR(128), DECRYPTBYPASSPHRASE('password', Llave)) = @llave
            )
        SELECT 'Usuario Correctos , Bienvenido';
    ELSE
    BEGIN
        SELECT 'Error Verifique sus Datos';
    END
END
GO

Siguiendo el hilo de tu pregunta anterior y su respectiva respuesta, aquí podrás ver la demostración

Como nota, a mi muy particular modo de programar, no recomendaría realizar la autenticación de un usuario de esta forma, imagina que tu servidor de aplicaciones se encuentra físicamente en un lugar diferente que tu servidor de base de datos. La comunicación entre un extremo y otro puede estar expuesta a un ataque de intermediario (man in the middle sería su definición en inglés), donde dice:

Es un ataque en el que se adquiere la capacidad de leer, insertar y modificar a voluntad, los mensajes entre dos partes sin que ninguna de ellas conozca que el enlace entre ellos ha sido violado.

Entonces, tu contraseña tal cual viaja en el mensaje y no se encripta hasta que llega a la base de datos y lo mismo sucede al validar el usuario, y si existe alguna forma de interceptar tu mensaje, fácilmente podrás ser hackeado.

Lo que yo recomendaría es, encriptar la contraseña directamente en tu código de la aplicación y que viaje encriptada a la base de datos y al momento de insertar será un VARCHAR con algún tipo de codificación. Lo mismo al validar el usuario y la contraseña, estarás validando contraseñas codificadas, donde si el paquete es interceptado, únicamente se obtendrá un usuario y una contraseña codificados, esto no te exime de ser hackeado pero de cierta forma estás protegiendo la comunicación entre las partes involucradas.

1

Intenta esto:

SELECT username FROM dbo.Usuario WHERE userName = @username AND Llave=ENCRYPTBYPASSPHRASE('password' ,@llave)
4
  • no me funciono me salio este error al modificar mi Store Procedure: Msg 189, Level 15, State 1, Procedure LoginUsuario, Line 10 The EncryptByPassPhrase function requires 2 to 4 arguments.
    – PieroDev
    el 26 feb. 2017 a las 16:44
  • SELECT username FROM dbo.Usuario WHERE userName = @username AND Llave=ENCRYPTBYPASSPHRASE('password' ,@llave)
    – ctm002
    el 26 feb. 2017 a las 17:02
  • Creo que con esto no deberias tener problema.
    – ctm002
    el 26 feb. 2017 a las 17:02
  • 1
    Hola ctm002, por favor actualiza tu respuesta para que, si es el caso, @Pierro pueda marcarla como aceptada.
    – toledano
    el 26 feb. 2017 a las 17:52

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.