Hilfe bei der md5-Funktion

[TomFresh]

Hi mal wieder!

Hab folgendes Problem: Ich habe ein Eingabefeld mit dem Namen password. Wenn ich jetzt auf den Submit-Button klicke, dann soll nun das eingegebene Passwort mit md5 verschlüsselt werden und mit dem bereits verschlüsseltem aus der Datenbank verglichen werden. Dies klappt leider nicht, bzw. ich kann jedes beliebige Passwort eingeben und das ist angeblich immer das Richte, was ja nun wirklich nicht seien kann. Hier mein Code:

<?php
    $query = @mysql_query("SELECT pass FROM users WHERE pass = '".$_POST[md5 ('oldpass')]."'");
    $result = @mysql_fetch_array($query);
    if($result['pass'] == $_POST[md5 ('oldpass')]) {
            if ($_POST['newpass'] == $_POST['newpass2']) {
                echo '<p align="center">Alles klar! Aber kann das sein?!<br><br><a href="config_pass.php">Zur&uuml;ck</a></p>';
            }else{
                echo '<p align="center">Ihr neues und ihr wiederholtes neues Passwort stimmen nicht miteinander überein! Bitte wiederholen sie ihre Eingabe!<br><br><a href="config_pass.php">Zur&uuml;ck</a></p>';

            }
    }else{    
        echo '<p align="center">Ihr altes Passwort ist nicht korrekt! Bitte wiederholen sie ihre Eingabe!<br><br><a href="config.php">Zur&uuml;ck</a></p>';
    }
}
?>

Da wo das erste if steht muss der falsche Code seien. Ich weiß aber nicht wie ich das anders machen soll .
Freu mich natürlich über jede Hilfe, bis denn, Tom

[Abraxax]

was ist denn das für ein müll ?

$_POST[md5 ('oldpass')]

mache mal so:

md5($_POST['oldpass'])

oder noch besser direkt in der DB

$sql = "... WHERE pass = MD5('".$_POST['oldpass']."')"; 

achtung das MD5() ist DB und das md5() ist php

[TomFresh]

Alles klar! Klappt jetzt perfekt! Aber woher sollte ich auch wissen, dass das Falsch ist, wenn ich keine Fehlermeldung bekomme? Bin ja echt nen absoluter Anfänger!

Bis denn, Tom

[Abraxax]

vom syntax her war es auch nicht falsch. nur unsinnsig.

[mister_x1]

dann lass das @ vorm query weg, dann bekommst du auch ne fehlermeldung. besser noch mysql_error() einsetzen.

[Troublegum]

Original geschrieben von Abraxax
oder noch besser direkt in der DB

$sql = "... WHERE pass = MD5('".$_POST['oldpass']."')"; 

Davon würde ich abraten. So muss der String nämlich noch escaped werden, sonst ist eine SQL Injection möglich.

[Abraxax]

ok. ein addslashen drumrum sollte ja noch machbar sein...

[Troublegum]

Machs einfach so.

<?php
    $query = mysql_query("SELECT COUNT(*) as users FROM users WHERE pass = '".md5($_POST['oldpass'])."'");
    $result = mysql_fetch_array($query);
    if($result['user'] == 1) {
            if ($_POST['newpass'] == $_POST['newpass2']) {
                echo '<p align="center">Alles klar! Aber kann das sein?!<br><br><a href="config_pass.php">Zur&uuml;ck</a></p>';
            }else{
                echo '<p align="center">Ihr neues und ihr wiederholtes neues Passwort stimmen nicht miteinander überein! Bitte wiederholen sie ihre Eingabe!<br><br><a href="config_pass.php">Zur&uuml;ck</a></p>';

            }
    }else{    
        echo '<p align="center">Ihr altes Passwort ist nicht korrekt! Bitte wiederholen sie ihre Eingabe!<br><br><a href="config.php">Zur&uuml;ck</a></p>';
    }
}
?>

[TomFresh]

huiii!! was ist denn das?! Sorry, aber kenn momentan noch net sooo super viele Befehle. Wo ist denn der Vorteil von SELECT Count (*)?? Und warum sollte das md5 jetzt doch wieder direkt vor das $_POST anstatt vor das Hochkomma und die Anführungsstriche??! Und was heißt

So muss der String nämlich noch escaped werden, sonst ist eine SQL Injection möglich.

Wie gesagt, bin ich noch nen blutiger Anfänger... aber irgendwann schaff ich das auch noch.
Bis denne, Tom


p.s.: nochmals Danke! Echt nen super Forum! Bzw. nen echt gutes Forum mit super Leuten!!

[Damian1984]

Da das sonst, als String angesehen. Der BEfehl wird nicht ausgeführt!