2

Tenho seguinte código por parte do PHP não apresenta nenhum erro, a pagina aparece em branco e não mostra o código HTML.

<?php
include("config.php");
if($_GET['key'] && $_GET['reset'])
{
  $email=password_hash($_GET['key'],PASSWORD_DEFAULT);
  $pass=password_hash($_GET['reset'],PASSWORD_DEFAULT);
  $sql=mysqli_query($conn,"SELECT email, password FROM registo where email='$email' and password='$pass'");
  if(mysqli_num_rows($sql)==1)
  {
    ?>
<html>
    <form method="post" action="update_newpassword.php">
    <input type="hidden" name="email" value="<?php echo $email;?>">
    <p>Enter New password</p>
    <input type="password" name='password'>
    <input type="submit" name="submit_password">
    </form>
    </html>
    <?php

  }
}
?>
10
  • Coloque essas duas linhas no começo do script: ini_set('dispaly_errors', true);error_reporting(E_ALL); veja se aparece algum erro.
    – rray
    Commented 14/05/2017 às 22:13
  • Não há nenhum erro. O que existe é um uso equivocado da criptografia. O password_hash até a versão 7.1 é somente BCrypt. Ele gera um salt diferente (e teoricamente único) para cada vez. Portanto quando você utiliza ele para dar o INSERT ele irá salvar $(algo)$(dificuldate)$(salt [primerios 16 caracteres, salvo engano])(hash da senha). Por isso o verify_password funciona, porque gera a senha de entrada novamente com o mesmo salt e então compara. Porém fazer o que está fazendo, usando um SELECT é impossível, porque o novo $email será diferente do $email que está lá
    – Inkeliz
    Commented 14/05/2017 às 22:14
  • mas o PHP nao apresenta nenhum erro, o HTML codigo simplesmente nao aparece! Commented 14/05/2017 às 22:16
  • a pagina aparece em branco Commented 14/05/2017 às 22:16
  • Aparece em branco porque não acha o SELECT, menos (ou mais) que uma linha. Crie um else no if(mysqli_num_rows($sql)==1) e verá isto. De um var_dump(mysqli_num_rows($sql));
    – Inkeliz
    Commented 14/05/2017 às 22:16

1 Resposta 1

5

O problema é lógico e previsível pelo comportamento do BCrypt. Tentarei passar um básico do comportamento do BCrypt.

Mas, veja que fazer isto:

<?php

$senha = "a-mesma-senha";

echo password_hash($senha,PASSWORD_DEFAULT);

Retornará:

$2y$10$l1Ka5O0C9oYxyY./MvA5YOH1JBTjcY9qTefOLUrZMZ8R4H8kR3UmO

Mas, o mesmo código retornará:

$2y$10$J.eVvzGeh4FQh9uHb8Exz.U9jfn8hJhXs58bvdBYITkLfjLAJp0aK

E sem alterar nada também retorna:

$2y$10$VFXgZFjjRLqeQvGIdeAtiuQR8jt1x.6wiz/L4dSBWC5w8fUbWwgDu

Veja você mesmo, clique em "Execute Code" várias vezes e sempre o resultado será diferente


Isto é auto-explicativo. Quando você faz o INSERT você insere por exemplo:

$2y$10$l1Ka5O0C9oYxyY./MvA5YOH1JBTjcY9qTefOLUrZMZ8R4H8kR3UmO

Mas quando você faz isto novamente você tenta procurar por, no SELECT:

$2y$10$VFXgZFjjRLqeQvGIdeAtiuQR8jt1x.6wiz/L4dSBWC5w8fUbWwgDu

Que obviamente são diferentes e você não irá acha-los.

Esse conjunto de códigos com uns $ no meio representam:

$<algo>$<dificuldade>$<sal (22 caracteres)><senha (31 caracteres)>

Apenas a titulo de curiosidade e para que sabia como isto funciona observe que se fizer isto:

// Não utilize isto em produção!

// Gera o BCrypt
$hashUm = password_hash('senha', PASSWORD_DEFAULT);

// Obtem o salt da hash gerada (primeiros 22 caracteres após o último $):
$salt = substr(substr($hashUm, strrpos($hashUm, '$')), 1, 22);

// Gera um nova senha COM O MESMO SALT:
$hashDois = password_hash('senha', PASSWORD_DEFAULT, ['salt' => $salt]);


if($hashDois === $hashUm){
echo 'Funcionou';
}

Não utilize o código acima por motivos óbvios de segurança.

Porque o código acima funciona mesmo gerando duas vezes? Porque é o mesmo salt (a mesma dificuldade e o mesmo algoritmo), portanto a mesma hash será resultante, isto é como o verify_password funciona.

Isto é "exatamente" o que ocorre quando é usando o password_verify(), ele obtêm o salt da hash e então criptografa a entrada com o mesmo salt e verifica, porém logicamente com proteções contra side-channel e afins.


A diferença entre o BCrypt/PBKDF2/Argon2i/SCrypt (...) contra o SHA256, MD5, SHA-1 (...) é justamente que todos eles possuem ajuste de dificuldade e também um salt, o salt em especifico faz com que senhas iguais não sejam iguais, veja esta publicação também, como facilmente pode ver acima.


Como resolver o problema:

Simples, primeiro um valor deve ser fixo para ambos os lados, ele deve ser "texto-plano", não cifrado.

Por exemplo:

$tokenPlanoComum = unpack('H*', random_bytes(128))[1];

$tokenSecretoCliente = unpack('H*', random_bytes(32))[1];
$tokenSecretoBanco = password_hash($tokenSecretoCliente,PASSWORD_DEFAULT);

Você irá salvar no banco de dados a seguinte informação:

$tokenSecretoBanco 
$tokenPlanoComum

Você irá enviar para o cliente as informações:

$tokenPlanoComum
$tokenSecretoCliente

Depois para dar o SELECT você irá obter via o $tokenPlanoComum, dessa forma, por exemplo:

SELECT * FROM tabela WHERE tokenPlanoComum = "$tokenPlanoComum"

Então depois do SELECT compare a informação que o cliente enviou (do URL) com o do banco:

if(password_verify($_GET['tokenSecretoCliente'], $tabela['tokenSecretoBanco'])){
// Tudo certo!
}

Lembre-se de, se aplicável, definir um tempo de expiração, para impedir que seja possível utilizar o mesmo token depois de muito tempo gerado.

Porque isto é eficiente?

Se houver uma falha no seu sistema que permita obter as informações da tabela (exemplo um Read-Only SQL Injection), um deles está criptografado e somente o cliente tem a posse, por isso ainda estará seguro uma vez que será preciso de ambos corretos. ;)

Porque isto funciona?

Porque existe um ponto em comum onde é imutável e sempre será o mesmo para ambos os lados.

3
  • Inkeliz voce se alguma maneira até pode ter razão mas certamente não é isso que faz com que o meu código HTML aparece ou não, porque a minha duvida aqui foi isso, foi o fato de o codigo HTML não aparecer. eeu creio que o problema esta no if antes Commented 16/05/2017 às 19:20
  • @DianaMadeira, isto é óbvio. O mysqli_num_rows retorna a quantidades de linhas que a consulta do mysql obteve. Se o MySQL não consegue encontrar a informação resultará num num_rows com valor 0, afinal ele achou 0 linhas. O MySQL não irá encontrar pelo motivo que disse acima. Se ele retorna 0 ele será diferente de 1 e como consequência não irá aparecer o HTML. Presumi que saberia a utilidade o mysqli_num_rows, que é informar a quantidade de linhas obtidas pela consulta anterior. O motivo de ser 0, foi o que disse acima.
    – Inkeliz
    Commented 16/05/2017 às 20:06
  • 1
    Resposta perfeita. Iria perguntar mais futuramente quando implantasse o meu sistema de recuperação e, por sorte, encontrei essa sua resposta. Totalmente funcional em meus testes. Obrigado! Commented 16/05/2017 às 23:31

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .