Recupero della Password: invio di pass errata

Recupero della Password: invio di pass errata postato il 01/08/2012 19:51:27 nel forum programmazione, gdrcd, grafica e open source

Ciao,
premetto che non sono una programmatrice e che il codice che sto per mostrarvi non è stato creato nè modificato da me (tra l'altro credo che sia una parte del codice del recupero password di Gdrcd, ma non so).

Mi sono drammaticamente accorta solo oggi che il nostro sistema di recupero Password non funziona, ed io non credo proprio di essere in grado di sistemarlo.
Inserendo E-Mail e nome del personaggio all'interno del form, effettivamente il sistema invia alla mail in questione una nuova password. Solo che tale password non permette al personaggio di entrare in Land!

Cosa c'è che non va?

Questo è il codice del form:

<?
$nome = $_POST['nome'];
$mail = $_POST['mail'];

if(!empty($nome))
{
$query = "SELECT Email FROM Personaggio WHERE Nome = '$nome'";
$result = mysql_query($query);
$row = mysql_fetch_array($result);
if ($row)
{
if($mail == $row[Email])
{
for($i=0; $i<=12; $i++)
$password .= chr(mt_rand(0, 24) + ord("A"));

$pass = sha1($password);

$query = "UPDATE Personaggio SET Pass = '$pass' WHERE Nome = '$nome'";
if(mysql_query($query))
{
echo "La password è stata reimpostata in modo automatico dal sistema. La password le è stata spedita alla sua casella di posta elettronica";

$oggetto="Recupero password di".$nome;
$messaggio = "Se le è arrivata questa e-mail vuol dire che lei ha richiesto il recupero della password dal nostro";
$messaggio .= " sistema.<br> Essendo le nostre password criptate, il sistema a provveduto a creargliene una nuova in modo casuale. Le consigliamo";
$messaggio .= "di modificare la password al prossimo accesso alla nostra land";
$messaggio .= "<br>I dati del vostro personaggio sono i seguenti. Le raccomandiamo di non fornire questi indicazioni a terzi<br>";
$messaggio .= "Nome utente: ".$nome."<br>Password: ".$password;
$intestazioni= "From: ".$land_mail;
mail($mail, $oggetto, $messaggio, $intestazioni);

}else
echo "Errore durante il recupero della password";

echo "<a href=index.php>Indietro</a>";
exit();

}else
echo "Il nome inserito non corrisponde alla password inserita";

}else
echo "Il personaggio dal nome inserito non esiste";
}
?>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Recupero Password</title>
</head>
<body>
<form action="rec_pass.php" method="post">
E-mail <input type="text" name="mail"><br>
Nome personaggio <input type="text" name="nome"><br>
<input type="submit" name="submit" value="invia" />
</form>

Pagine → 1

Offline raccoon

01/08/2012 19:57:51

Aggiungo:

ho provato ad impostare questo:

$messaggio .= "$messaggio .= "Nome utente: ".$nome."<br>Password: ".$pass;

al posto di questo

$messaggio .= "$messaggio .= "Nome utente: ".$nome."<br>Password: ".$password;

..ed il problema è che la password ricevuta via mail è quella giusta, ma con alcuni caratteri in eccesso (il nostro sistema comprende password di lunghezza massima di 20 lettere), per cui all'accesso, inserendo i primi 20 caratteri della password ricevuta, si riesce ad accedere, altrimenti no. Ovviamente chiedere all'utente di mettersi a contare le lettere mi sembra assurdo..quindi il problema rimane.

World of Tanks ↗
Lanciati in epiche battaglie spalla a spalla con altri giocatori. Conquista la supremazia nel mondo dei Carri Armati!

Offline maverick12

01/08/2012 19:57:59

$query = "UPDATE Personaggio SET Pass = '$pass' WHERE Nome = '$nome'";

Prendo questa stringa ad esempio. Dovrebbe essere, in tutte le stringhe sql:

$query = "UPDATE Personaggio SET Pass = '.$pass.' WHERE Nome = '.$nome.'";

Insomma, tra apice e variabile ci va un punto all'inizio, ed uno alla fine.

I love you since 2008.

Offline raccoon

01/08/2012 20:01:22

Ti ringrazio, non so se fosse quello il problema.
Alla fine ho risolto in questo modo:

<?

$nome = $_POST['nome'];
$mail = $_POST['mail'];

if(!empty($nome))
{
$query = "SELECT Email FROM Personaggio WHERE Nome = '$nome'";
$result = mysql_query($query);
$row = mysql_fetch_array($result);
if ($row)
{
if($mail == $row[Email])
{
for($i=0; $i<=12; $i++)
$password .= chr(mt_rand(0, 24) + ord("A"));

$pass = sha1($password);

$query = "UPDATE Personaggio SET Pass = '$password' WHERE Nome = '$nome'";
if(mysql_query($query))
{
echo "La password è stata reimpostata in modo automatico dal sistema. La password le è stata spedita alla sua casella di posta elettronica";

$oggetto="Recupero password di".$nome;
$messaggio = "Se le è arrivata questa e-mail vuol dire che lei ha richiesto il recupero della password dal nostro";
$messaggio .= " sistema.<br> Essendo le nostre password criptate, il sistema a provveduto a creargliene una nuova in modo casuale. Le consigliamo";
$messaggio .= "di modificare la password al prossimo accesso alla nostra land";
$messaggio .= "<br>I dati del vostro personaggio sono i seguenti. Le raccomandiamo di non fornire questi indicazioni a terzi<br>";
$messaggio .= "Nome utente: ".$nome."<br>Password: ".$password;
$intestazioni= "From: ".$land_mail;
mail($mail, $oggetto, $messaggio, $intestazioni);

}else
echo "Errore durante il recupero della password";

echo "<a href=index.php>Indietro</a>";
exit();

}else
echo "Il nome inserito non corrisponde alla password inserita";

}else
echo "Il personaggio dal nome inserito non esiste";
}
?>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Recupero Password</title>
</head>
<body>
<form action="rec_pass.php" method="post">
E-mail <input type="text" name="mail"><br>
Nome personaggio <input type="text" name="nome"><br>
<input type="submit" name="submit" value="invia" />

Star Trek: Equilibrium ↗
Sii te stesso e fai la differenza. Sali a bordo di Star Trek: Equilibrium!

Offline leoblacksoul

01/08/2012 20:44:35

Il suggerimento di maverick è errato, in quanto sta considerando gli apici errati.

Sei conscia del fatto che le password sul tuo database non sono criptate vero? Non è una bella cosa

---
Non chiedetemi aiuto in privato per questioni di programmazione; chiedete sul forum e eventualmente vi risponderò lì.
http://gdrportal.eu - Hosting per GDR

Offline raccoon

01/08/2012 20:47:48

leoblacksoul ha scritto:
Sei conscia del fatto che le password sul tuo database non sono criptate vero? Non è una bella cosa

Sì, lo so perchè avendo fatto richiesta per il Progetto Legalità mi sono informata a dovere. Purtroppo non essendo una programmatrice, non sono in grado di sistemare la questione, e visti i numerosi malfunzionamenti di cui mi sto accorgendo pian piano, da quando ho preso in mano la gestione del sito, non ho voluto fare tentativi di sorta, per evitare di incappare in qualche vicolo cieco e creare ulteriori problemi.