Hacer login con CURL

neodani · #1 (**permalink**) 10/01/2010, 15:40

Buenas,

Después de leer el interesante aporte
http://www.forosdelweb.com/f18/aport...equest-724214/

Creo que lo estoy haciendo bien, pero la página con la que intento validar debe tener algo que me impide validarme con CURL directamente.

Lo mejor de todo es que lo estoy probando en local contra un panel interno que diseñé, por lo que puedo ver exactamente como se realiza la validación para entrar.

Script de curl

Código PHP:

Ver original<?php
$postvalue['user'] = 'test'; 
$postvalue['password'] = '123456'; 
$postvalue['submit'] = 'Iniciar Sesión';
 
$url = "http://panelme.com/index.php"; // escribe aqui la url de tu formulario
$ch = curl_init(); // Inicializo el handler de Curl
//Seteo las opciones para el envio
curl_setopt($ch, CURLOPT_URL,$url); // Url a donde se va a postea.
curl_setopt($ch, CURLOPT_USERAGENT, 'Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8.1.11) Gecko/20071127 Firefox/2.0.0.11'); //Seteo el user Agent en este caso es el navegador firefox 2
curl_setopt($ch, CURLOPT_FAILONERROR, 1); //terminar en caso de error
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);// Permitir Redirecciones
curl_setopt($ch, CURLOPT_RETURNTRANSFER,1); // Retornar la pagina de resultados en una variable
curl_setopt($ch, CURLOPT_TIMEOUT, 1); //timeout.
curl_setopt($ch, CURLOPT_POST, 1); // SETEAR el Envio por POST
curl_setopt($ch, CURLOPT_POSTFIELDS, $postvalue); //cargo los datos del formulario
$result = curl_exec($ch); // Ejecutar el envio por post.
curl_close($ch); // Cierro la consulta
 
echo "<pre>";
echo $result;
echo "</pre>";
?>

Cuando lo lanzo me muestra el codigo de la pagina de login y pass

Y este es el script que corre al otro lado para validar la entrada

Código PHP:

Ver original<? 
/* 
Autentificacion de usuarios 
Autor: neodani
 
*/
session_start();
// Cargar datos conexion y otras variables.
include ("config_BD.inc.php");
include("getRealIP.inc.php");
$ip=getRealIP();
// chequear página que lo llama para devolver errores a dicha página.
$url = explode("?",$_SERVER['HTTP_REFERER']);
$pag_referida=$url[0];
$redir=$pag_referida;
 
function Redirigir_error($num_error) {
  $_SESSION['error']=$num_error;  
  Header ("Location: /entrada_login.php");
  exit;
}
// chequear si se llama directo al script.
if ($_SERVER['HTTP_REFERER'] == ""){
    die (Header ("Location: /error/ruta_incorrecta.php"));
    exit;
    }
    
 
// Chequeamos si se está autentificandose un usuario por medio del formulario
if (isset($_POST['user']) && isset($_POST['password'])) {
    $user = trim($_POST['user']);
    $pass = trim($_POST['password']);
    // eliminamos barras invertidas y dobles en sencillas
    $user = stripslashes($user);
    // encriptamos el password en formato md5 irreversible.
    $pass = md5($pass);
    
    
    if(($user == '') or ($pass == '')){
        header("Location:  $redir"); 
        $_SESSION['error']=7;
        exit;
        }
 
    else{
        $query="SELECT * FROM panelme_usuarios WHERE usuario='$user'";
        $db_conexion=@mysql_connect($sql_host,$sql_usuario,$sql_pass) or die(Redirigir_error(0) );
        
        $usuario_consulta=@mysql_db_query($sql_db,$query,$db_conexion) or die(Redirigir_error(1) );
        
        if(mysql_num_rows($usuario_consulta)==0){ // El usuario NO EXISTE.
            Header ("Location: $redir"); //si no existe el usuario error redirijimos error.
            $_SESSION['error']=13;
            $query2="SET time_zone = '+1:00'";
            $usuario_consulta2=@mysql_db_query($sql_db,$query2,$db_conexion) or die(Redirigir_error(1) );
            $query1="insert into panelme_accesos (fecha,ip,usuario,password,valido) VALUES (now(), '$ip', '$user', '$pass',1)"; 
            @mysql_db_query($sql_db,$query1,$db_conexion) or die(Redirigir_error(1) );
            exit;
        }else 
            { //El usuario EXISTE.
            $_SESSION['user']=$_POST['user'];
            // almacenamos datos del Usuario en un array para empezar a chequear.
            $usuario_datos = mysql_fetch_array($usuario_consulta);
            // liberamos la memoria usada por la consulta, ya que tenemos estos datos en el Array.
            mysql_free_result($usuario_consulta);
            
 
            if($usuario_datos["password"]==$pass){
                /* Comprobamos que el password encriptado en la BD coincide con el password que nos han dado al encriptarlo. Recuerda usar la misma semilla para encriptar los dos passwords. */
                $query1="insert into panelme_accesos (fecha,ip,usuario,password,valido) VALUES (now(), '$ip', '$user', '$pass',0)"; 
                @mysql_db_query($sql_db,$query1,$db_conexion) or die(Redirigir_error(1) );
                // cerramos la Base de dtos.
                mysql_close($db_conexion);
                // Paranoia: destruimos las variables login y password usadas
                unset($login);
                unset ($password);
                // le damos un mobre a la sesion.
                session_name($usuarios_sesion);
                // incia sessiones
                session_start();
                // Paranoia: decimos al navegador que no "cachee" esta página.
                session_cache_limiter('nocache,private');
                // Asignamos variables de sesión con datos del Usuario para el uso en el
                // resto de páginas autentificadas
                // definimos variables de sesion.
                $_SESSION['usuario_id']=$usuario_datos['id'];
                $_SESSION['usuario_login']=$usuario_datos['usuario'];
                $_SESSION['usuario_password']=$usuario_datos['pass'];
                $_SESSION['usuario_ip']=$ip;
                $_SESSION['nivel_acceso']=$usuario_datos['nivel_acceso'];
                // Hacemos una llamada a si mismo (scritp) para que queden disponibles
                // las variables de session en el array asociado $HTTP_...
                $pag=$_SERVER['PHP_SELF'];
                Header("location: /index.php");
            }else {
                Header ("Location: $redir"); //password incorrecto
                $_SESSION['error']=13;
                $query1="insert into panelme_accesos (fecha,ip,usuario,password,valido) VALUES (now(), '$ip', '$user', '$pass',1)"; 
                @mysql_db_query($sql_db,$query1,$db_conexion) or die(Redirigir_error(1) );
                // cerramos la Base de dtos.
                mysql_close($db_conexion);
                exit;
                } 
        }    
    }
}else {
// -------- Chequear sesión existe -------
// usamos la sesion de nombre definido.
session_name($usuarios_sesion);
// Iniciamos el uso de sesiones
session_start();
 
// Chequeamos si estan creadas las variables de sesión de identificación del usuario,
// El caso mas comun es el de una vez "matado" la sesion se intenta volver hacia atras
// con el navegador.
 
if (!isset($_SESSION['usuario_login']) && !isset($_SESSION['usuario_password'])){
    // Borramos la sesion creada por el inicio de session anterior
    session_destroy();
    die (Header ("Location: /error/ruta_incorrecta.php"));
    exit;
    }
}
?>

En un principio creía que lo que podía estar fastidiandome sería este trozo

Código PHP:

Ver original// chequear si se llama directo al script.
if ($_SERVER['HTTP_REFERER'] == ""){
    die (Header ("Location: /error/ruta_incorrecta.php"));
    exit;
    }

Pero al ver que cuando hago la ejecución del script en CURL no se descarga el código de la web de error, entiendo que esta validación la hace bien y no entra en ese if.

¿Veis algo que se me escape?

El formulario no envia ninguna variable hidden ni utiliza cookies.

Gracias de antemano!

pateketrueke · #2 (**permalink**) 10/01/2010, 15:53

NOTA que las sesiones por lo general utilizan cookies, tal ves eso si te se escapó... ;)

abimaelrc · #3 (**permalink**) 10/01/2010, 15:58

Tienes que enviar la petición a la página que corrobora el username y password, no a la página donde tiene los campos para loguearse.

neodani · #4 (**permalink**) 10/01/2010, 16:06

Cita:

Iniciado por abimaelrc

Tienes que enviar la petición a la página que corrobora el username y password, no a la página donde tiene los campos para loguearse.

Ostras es verdad, fallo mio.

He cambiado la dirección
$url = "http://panelme.com/includes/login.php";

Ahora me lleva a la página de error "ruta_incorrecta.php".
Revisando las dos zonas del script que redirige hacia esta página, he comprobado que la parte que está redirigiendo es esta de aquí, cuando se llama directo al script.

Código PHP:

Ver original// chequear si se llama directo al script.
if ($_SERVER['HTTP_REFERER'] == ""){
    die (Header ("Location: /error/ruta_incorrecta.php"));
    exit;
    }

Tiene algo que ver las sesiones/cookies que decía pateketrueke para conseguir que muestre la página?

Teoricamente si los datos son buenos me debería mostrar la pagina index.php
Header("location: /index.php");

¿Alguna manera de saltar esa protección con CURL?

Muchas gracias de antemano

abimaelrc · #5 (**permalink**) 10/01/2010, 22:05

Comenta esa parte del if y nos dejas saber como te va.

neodani · #6 (**permalink**) 11/01/2010, 00:59

Cita:

Iniciado por abimaelrc

Comenta esa parte del if y nos dejas saber como te va.

Comentando esa parte, el script sigue adelante hasta la linea 94

Header("location: /index.php");

El problema ahora es que debería guardar los valores de la sesión tal y como muestra el script lineas antes de hacer la redirección al index.php

Código PHP:

Ver original// le damos un mobre a la sesion.
                session_name($usuarios_sesion);
                // incia sessiones
                session_start();
                // Paranoia: decimos al navegador que no "cachee" esta página.
                session_cache_limiter('nocache,private');
                // Asignamos variables de sesión con datos del Usuario para el uso en el
                // resto de páginas autentificadas
                // definimos variables de sesion.
                $_SESSION['usuario_id']=$usuario_datos['id'];
                $_SESSION['usuario_login']=$usuario_datos['usuario'];
                $_SESSION['usuario_password']=$usuario_datos['pass'];
                $_SESSION['usuario_ip']=$ip;
                $_SESSION['nivel_acceso']=$usuario_datos['nivel_acceso'];

Porque en todas las paginas del panel compruebo si el usuario inició sesión con esta simple linea
if (isset($_SESSION['usuario_login'])) {

He probado poniendo el session_start(); en el script de CURL pero me sigue rediregiendo a la pagina de usuario y contraseña, entiendo que es por que no almacena los datos de sesión o no los interpreta.

Gracias de antemano

abimaelrc · #7 (**permalink**) 12/01/2010, 13:47

Después de varias pruebas, de la única forma que pude lograr ver los cookies en otra página es usando dos consultas de curl. Cree dos páginas de PHP, de esta forma:

Código PHP:

Ver original<?php
//b.php
session_start();
$_SESSION["username"] = "username";
$_SESSION["password"] = "password";

Código PHP:

Ver original<?php
//c.php
session_start();
echo $_SESSION["username"]."<br />";
echo $_SESSION["password"];

Y el código que use para pasar un cookie a la otra página

Código PHP:

Ver original<?php
//index.php
$ch = curl_init('http://localhost/b.php');
curl_setopt($ch,    CURLOPT_AUTOREFERER,        true);
curl_setopt($ch,    CURLOPT_COOKIESESSION,      true);
curl_setopt($ch,    CURLOPT_FAILONERROR,        false);
curl_setopt($ch,    CURLOPT_FOLLOWLOCATION,     false);
curl_setopt($ch,    CURLOPT_HEADER,             true);
curl_setopt($ch,    CURLOPT_RETURNTRANSFER,     true);
$result = curl_exec($ch);
curl_close($ch);
 
$pattern = "/Set-Cookie: (PHPSESSID=.*?;)/i";
preg_match_all($pattern, $result, $m);
array_shift($m);
 
$ch = curl_init('http://localhost/c.php');
curl_setopt($ch,    CURLOPT_COOKIE,             $m[0][0]);
curl_setopt($ch,    CURLOPT_AUTOREFERER,        true);
curl_setopt($ch,    CURLOPT_COOKIESESSION,      true);
curl_setopt($ch,    CURLOPT_FAILONERROR,        false);
curl_setopt($ch,    CURLOPT_FOLLOWLOCATION,     false);
curl_setopt($ch,    CURLOPT_HEADER,             false);
curl_setopt($ch,    CURLOPT_RETURNTRANSFER,     true);
$result = curl_exec($ch);
curl_close($ch);
echo $result;

La forma como lo logre, es usando el header de la página. Esta información la encontre en esta página http://www.phpbuilder.com/board/show...php?t=10346748

neodani · #8 (**permalink**) 12/01/2010, 14:13

Muchas gracias por tu tiempo

Intenté la prueba contra la web que tenia el script de login nuevamente, y si bien es cierto que consigue coger el ID de la sesión puede coger tb las sesiones que crea el script de login??

Código PHP:

Ver original$_SESSION['usuario_id']=$usuario_datos['id'];
$_SESSION['usuario_login']=$usuario_datos['usuario'];
$_SESSION['usuario_password']=$usuario_datos['pass'];
$_SESSION['usuario_ip']=$ip;
$_SESSION['nivel_acceso']=$usuario_datos['nivel_acceso'];

Probé con
$pattern = "/.usuario_id.*?/i";
sin éxito, no me pilla nada

Código PHP:

Ver original$postvalue['user'] = 'test';
$postvalue['password'] = '123456';
$postvalue['submit'] = 'Iniciar Sesión';
 
//pantalla de login
$ch = curl_init('http://panelme.com/includes/login.php');
curl_setopt($ch,    CURLOPT_AUTOREFERER,        true);
curl_setopt($ch,    CURLOPT_COOKIESESSION,      true);
curl_setopt($ch,    CURLOPT_FAILONERROR,        false);
curl_setopt($ch,    CURLOPT_FOLLOWLOCATION,     false);
curl_setopt($ch,    CURLOPT_HEADER,             true);
curl_setopt($ch,    CURLOPT_RETURNTRANSFER,     true);
curl_setopt($ch, CURLOPT_POSTFIELDS, $postvalue); 
$result = curl_exec($ch);
curl_close($ch);
 
$pattern = "/Set-Cookie: (PHPSESSID=.*?;)/i";
preg_match_all($pattern, $result, $m);
array_shift($m);
print_r($m);
 
// Array ( [0] => Array ( [0] => PHPSESSID=fec4c66a7ad4f595063c6e6c0a2ce350; ) ) 
 
$ch = curl_init('http://http://panelme.com/index.php');
curl_setopt($ch,    CURLOPT_COOKIE,             $m[0][0]);
curl_setopt($ch,    CURLOPT_AUTOREFERER,        true);
curl_setopt($ch,    CURLOPT_COOKIESESSION,      true);
curl_setopt($ch,    CURLOPT_FAILONERROR,        false);
curl_setopt($ch,    CURLOPT_FOLLOWLOCATION,     false);
curl_setopt($ch,    CURLOPT_HEADER,             false);
curl_setopt($ch,    CURLOPT_RETURNTRANSFER,     true);
$result = curl_exec($ch);
curl_close($ch);
 
 
echo "<pre>";
print_r($result); // vacio
echo "</pre>";

Gracias nuevamente

abimaelrc · #9 (**permalink**) 12/01/2010, 14:24

Tu tienes que enviar esa información del username y password usando el método de POST en tu cURL, fíjate el aporte que indicaste para que veas como enviar usando ese método. Luego que lo hagas vas a ver que si podras visitar la segunda pagina con exito. Acuerdate que el servidor sabe que usuario está visitando la pagina por el PHPSESSID. Cuando le brindes la información del PHPSESSID vas a ver que funcionará las sesiones.

neodani · #10 (**permalink**) 12/01/2010, 15:36

Cita:

Iniciado por abimaelrc

Tu tienes que enviar esa información del username y password usando el método de POST en tu cURL, fíjate el aporte que indicaste para que veas como enviar usando ese método. Luego que lo hagas vas a ver que si podras visitar la segunda pagina con exito. Acuerdate que el servidor sabe que usuario está visitando la pagina por el PHPSESSID. Cuando le brindes la información del PHPSESSID vas a ver que funcionará las sesiones.

abimaelrc por mas que miro lo hacen con la linea
curl_setopt($ch, CURLOPT_POSTFIELDS, $postvalue);

La misma que puse yo en el post anterior linea 13 no?? no veo de que otra forma lo envian (curl_setopt($ch, CURLOPT_POSTFIELDS, $loginFields); ) es lo mismo que hago yo :S

Me estoy equivocando en algo?

Gracias!