Bueno, yo hecho en falta algo muy importante, en ingun sitio compruebas que la contraseña sea correcta, deberías poner algo de este estilo:
Código PHP:
else{
//si no hay usuario con el login/password o está bloqueado puede ser 2 cosas. Pero para ello tienne que existir el usuario:
$sql1 = "SELECT * FROM usuarios WHERE usuario='$f_Usuario'";
$rs1 = mysql_query($sql1, $conn);
//1. Si existe el usuario puede que estuviese mal la contraseña o que ya estuviese bloqueado.
if ($row1 = mysql_fetch_row($rs1))
{
//rescato el valor de intento para saber los intentos fallidos a los que se ha tenido acceso a este usuario.
//*********************** Compruebo contraseña introducida es correcta ******************
if($row1['pass'] != $pass_introducido){
//Y también el campo bloqueado
$int= $row1[5];
$bloq= $row1[4];
//Si el usuario no está bloqueado.
if ($bloq = '0'){
//Si tiene menos de 3 intentos
if ($int < '2'){
$sql = "UPDATE usuarios Set Intentos = Intentos + 1 WHERE Usuario='$f_Usuario'";
//$sql = "UPDATE usuarios Set Intentos = Intentos + 1 WHERE Usuario = '".$f_Usuario."'";
$rs2 = mysql_query($sql,$conn);
header("Location:".$f_Ruta1);
exit();
}
//ya tiene 2 intentos y con este tercero se bloquea el usuario
else{
$sql = "UPDATE usuarios SET Bloq = '1', Set Intentos = '0' WHERE usuario='$f_Usuario'";
//$sql = "UPDATE usuarios Set Bloq = '1', Set Intentos = '0' WHERE Usuario = '".$f_Usuario."'";
$rs2 = mysql_query($sql,$conn);
header("Location:".$f_Ruta1);
exit();
mysql_free_result($rs2);
}
}
//el usuario está bloqueado directamente lo redirijimos a la misma pantalla, auqneu estuviese bien la contraseña.
else{
header("Location:".$f_Ruta1);
exit();
}
}
//****************************** Si la contraseña es correcta *****************
else{
//Aquí deberás iniciar una sesión
header("Location:".$f_RutaX);
}
}
//2.Si no existe usuario redirijimos al mismo sitio.
else
{
header("Location:".$f_Ruta1);
exit();
}
mysql_free_result($rs1);
}
mysql_close($conn);
exit();
Recuerda que antes de redirigir a la $f_RutaX Ahora tendrás que iniciar una session y en las páginas dónde quieras restringir el acceso comprobar que el usuario de la sesión existe.