1

Poseo un sistema realizado en PHP 5.4.0, en el cual agregue una librería para usar las funciones de password_hash de PHP 5.5.0.

Pueden encontrarla aqui: https://github.com/Antnee/phpPasswordHashingLib/blob/master/passwordLib.php

Tuve que subir el sistema a un servidor donde se maneja PHP 5.3.3 Squeezy,

Testee el DEMO que trae la librería y funciona perfectamente, hace los hasheo y luego los verifica.

Adicionalmente testee en el modo local y también funciona perfectamente.

El problema esta en que a la hora de querer entrar al sistema dice que la contraseña no coincide.

Pense tres posible problemas

1) Puede ser que al hashear la contraseña que se ingresa, genere otro hash diferente.

2) La funcion no sirva dentro del sistema por la ruta de las librerias.

3) Conexion a la base de datos.


Soluciones:

Para el #1: Las contraseñas con funcion verify no necesitas ser hasheas y no supe como mostrar que valor le daba la funcion cuando se comparaba.

Para el #2: La ruta no es, ya que comprueba los valores y devuelve lo contenido en ELSE del IF(password_verify)

Para el #3: El sistema estaba conectado perfectamente a la base de datos.

Intente entonces quitar la validación, entrar al sistema como administrador y crear un usuario, mágicamente funciono.

Aqui les dejo el archivo de conexion a mi sistema:

conexionalsistema.php:

<?php
session_start();
/* Verifico que CONECTAR tenga un valor, esto para validar que este activo javascript y que no entraron por ruta forzada */
$conectar = $_POST["conectar"];

if ($conectar == 1)
    {
    include '__conexion.php';

    include_once 'funciones/passwordLib.php';

    $usuario = $_POST['txtusuario'] ? : '';
    $contrasena = $_POST['txtcontrasena'] ? : '';
    $statement = $conexion->prepare("SELECT hash,nivel_id,unidad_id FROM usuarios WHERE usuario=? LIMIT 1");
    $statement->bind_param('s', $usuario);
    $statement->execute();
    $statement->store_result();
    if ($statement->num_rows === 0)
        {
        $statement->close();
        /* Si no existe el usuario en la BBDD le decimos que algo esta incorrecto */
        echo ('<script>alert("Usuario o contrase\u00f1a incorrecto, vuelva a ingresar");</script>');
        echo ("<script>window.location = 'index.php';</script>");
        exit;
        }
      else
        {
        $statement->bind_result($contrasena_BD, $nivel_id, $unidad_id);
        while ($statement->fetch())
            {
            if (password_verify($contrasena, $contrasena_BD))
                {
                $_SESSION['nivel'] = $nivel_id;
                $_SESSION['conectado'] = true; //esta conectado//
                $_SESSION['usuario'] = $usuario;
                $_SESSION['unidad'] = $unidad_id;
                $_SESSION['inicio'] = time();
                $_SESSION['expira'] = $_SESSION['inicio'] + (10 * 60); //TIEMPO DE SESIÓN//
                if ($nivel_id == 0)
                    {
                    /* Mensaje de bienvenida segun la clase */
                    echo ('<script>alert("Bienvenido al Sistema Automatizado de OMD");</script>');
                    echo ("<script>window.location = 'menu_unidades.php';</script>");
                    }
                elseif ($nivel_id == 1)
                    {
                    echo ('<script>alert("Bienvenido al Sistema Automatizado de OMD");</script>');
                    echo ("<script>window.location = 'menu_administradores.php';</script>");
                    }
                elseif ($nivel_id > 1)
                    {
                    echo ('<script>alert("Este usuario no corresponde al sistema");</script>');
                    echo ("<script>window.location = 'index.php';</script>");
                    }
                }
              else
                {
                /* Mensaje cuando la contraseña no coincide */
                echo ('<script>alert("Usuario o contrase\u00f1a incorrecto, vuelva a ingresar");</script>');
                echo ("<script>window.location = 'index.php';</script>");
                }
            }

        $statement->close();
        }
    }
  else
    {
    /* Mensaje cuando quieren entrar por ruta forzada */
    echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
    echo ("<script>window.location = 'index.php';</script>");
    }

?>
5
  • @Xerif actualizado con las funciones
    – Dev 200
    Commented el 24 abr. 2017 a las 11:56
  • @Xerif deberia tambier agregar el demo de aplicacion de la funcion.? por el funciona perfectamente, hasta valida
    – Dev 200
    Commented el 24 abr. 2017 a las 12:00
  • 1
    Lo que veo es que estas comparando la pass directamente, password_verify($_POST['txtcontrasena'], $contrasena_BD) primero debes convertir la contraseña en has con password_hash y luego comparar.
    – Xerif
    Commented el 24 abr. 2017 a las 12:11
  • @Xerif el proceso para verificar especificado por la libreria es usar esa funcion, ya que si hasheo la contraseña se generara un hash diferente. Modifique el codigo por uno mas nuevo, cambie ese $_POST por $contrasena
    – Dev 200
    Commented el 24 abr. 2017 a las 12:14
  • @Xerif, jejeje lo que yo pense fue volver a hashear todas las contraseñas, en mis preguntas esta una que consigo una funcion para hashear todo, pero no se si eso resuelva el problema. no se si se guarda algun registro o relacion entre los hasheos y por eso al subirlo al nuevo servidor falla. NOTA tengo la misma base de datos.
    – Dev 200
    Commented el 24 abr. 2017 a las 12:20

1 respuesta 1

2

El problema se soluciono al hacer de nuevo un hasheo de todos los registros de la base de datos. utilizando el siguiente codigo formulado por

@D.bulten (https://es.stackoverflow.com/users/10576/d-bulten)

adaptado al servidor PHP 5.3.3 gracias a

@JackNavaRow (https://es.stackoverflow.com/users/28035/jacknavarow)

Aquí os dejo el codigo:

<?php
  include '__conexion.php';
  require_once 'funciones/passwordLib.php'; // Libreria de PHP5.5 Hash de contraseñas 

  ini_set('max_execution_time', 300); //300 seconds = 5 minutes
  //Sentencia.
  $stmt = $conexion->prepare("SELECT contrasena FROM usuarios");//Selecciono solo los datos a utilizar, en tu caso la contraseña.
  //Ejecutar sentencia.
  $stmt->execute();
  //Ligamos resultado BD.
  $stmt->bind_result($contrasena_txt_plano);
  $contador=0;
  while ($stmt->fetch()) {

   $hash = password_hash($contrasena_txt_plano, PASSWORD_BCRYPT);
   $arr[] = array('contrasena'=>$contrasena_txt_plano,'hash'=>$hash);
 }

$stmt->close();

for ($i=0; $i<count($arr); $i++) { 
    $contador=$contador+1;
    echo $contador;
    $actualiza = $conexion->prepare("UPDATE usuarios SET hash=? WHERE contrasena=?");    
    $actualiza->bind_param("ss",$arr[$i]['hash'],$arr[$i]['contrasena']);
    $comprobar = $actualiza->execute();

    if ($comprobar===false) {
      exit('Nuesta sentencia UPDATE fallo: ' . htmlspecialchars($actualiza->error));
    } else {
      echo "Los datos se actualizaron correctamente.<br />";
    }

    $actualiza->close();    

  }

?>

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.