validación de usuarios

[Cameron_2006]

Buenos días, otra vez yo, estoy haciendo la validación de usuarios pero no hay forma ni manera de que al menos me de un error, hasta he cambiado de servidor y sigue el problema, no se que estoy haciendo mal, lo que es cierto es que ya tengo varios días intentándolo y nada, por favor, si alguien puede ver lo que yo no veo lo agradeceré muchisimo.

voy a colocar todo el código incluyendo el fomrlurio, gracias de verdad por la ayuda. Base de datos MySql.

tabla
m_investigadores
txt_usuario
txt_clave
cod_estado_inv (1=activo, 2=inactivo)
...

---------------------------------------------------------------------------------------

Formulario:
<form id="form1" name="form1" method="post" action="validainvestigador.asp">

usuario
<input type="text" name="nombre" id="nombre" />

Clave
<input type="password" name="clave" id="clave" />

<input name="enviar" type="submit" id="enviar" value="Enviar" />

<input name="cancelar" type="reset" id="cancelar" value="Cancelar" />
</form>

-------------------------------------------------------------------------------------------
validainvestigador.asp

<%@LANGUAGE="VBSCRIPT" CODEPAGE="1252"%>
<!--#INCLUDE file="include/conexion.asp"-->
<%response.buffer=true%>

<%
FUNCTION corregirComillas( cadena )
strNuevaCadena = REPLACE( cadena, "'", "''")
strNuevaCadena = REPLACE(strNuevaCadena, "<", "")
strNuevaCadena = REPLACE(strNuevaCadena, ">", "")
strNuevaCadena = REPLACE(strNuevaCadena, "%", "")
strNuevaCadena = REPLACE(strNuevaCadena, "*", "")
strNuevaCadena = REPLACE(strNuevaCadena, "INSERT INTO", "")
strNuevaCadena = REPLACE(strNuevaCadena, "DELETE FROM", "")
strNuevaCadena = REPLACE(strNuevaCadena, "IFRAME", "")
corregirComillas = strNuevaCadena
END FUNCTION
%>

<%
Dim nombre, clave

nombre=trim(Request.Form("nombre"))
clave=trim(Request.Form("clave"))


if nombre="" then
response.redirect("acceso.asp")
else

Set rst=Server.CreateObject("ADODB.Recordset")
Ssql10="select txt_usuario, txt_clave, cod_estado_inv from m_investigadores where (txt_usuario='"&corregirComillas(nombre)&"' and txt_clave='"&corregirComillas(clave)&" and cod_estado_inv=1);"
set rst = conexion.Execute(Ssql10)
if rst.eof then
Response.redirect("error.asp")
else
Session("nombre")=nombre
Response.Redirect("investigadores/index.asp?usuario="&nombre&"")
end if
end if
%>

<%
rst.close
set rst=nothing
conexion.close
set conexion=nothing
%>

[Adler]

Hola

Prueba a pasarle la función cuando recoges los párametros

Código asp:

<%
FUNCTION corregirComillas( cadena )
strNuevaCadena = Trim(cadena)
strNuevaCadena = REPLACE( cadena, "'", "''")
strNuevaCadena = REPLACE(strNuevaCadena, "<", "")
strNuevaCadena = REPLACE(strNuevaCadena, ">", "")
strNuevaCadena = REPLACE(strNuevaCadena, "%", "")
strNuevaCadena = REPLACE(strNuevaCadena, "*", "")
strNuevaCadena = REPLACE(strNuevaCadena, "INSERT INTO", "")
strNuevaCadena = REPLACE(strNuevaCadena, "DELETE FROM", "")
strNuevaCadena = REPLACE(strNuevaCadena, "IFRAME", "")
corregirComillas = strNuevaCadena
END FUNCTION
%>
 
<%
Dim nombre, clave
 
nombre=corregirComillas(Request.Form("nombre"))
clave=corregirComillas(Request.Form("clave")) 
 
Ssql10="select txt_usuario, txt_clave, cod_estado_inv from m_investigadores where (txt_usuario='"&nombre&"' and txt_clave='"&clave&" and cod_estado_inv=1);"
 

Por otro lado el filtrado se podría mejorar

Código asp:

str = lcase(str)
        str = replace(str,"  "," ")
        str = replace(str,"=","")
        str = replace(str,"'","")
        str = replace(str,"""""","")
        str = replace(str," or ","")
        str = replace(str," and ","")
        str = replace(str,"(","")
        str = replace(str,")","")
        str = replace(str,"<","[")
        str = replace(str,">","]")
        str = replace(str,"having ","")
        str = replace(str,"group by","")
        str = replace(str,"union select sum","")
        str = replace(str,"union select min","")
        str = replace(str,"--","")
        str = replace(str,"select ","")
        str = replace(str,"insert ","")
        str = replace(str,"update ","")
        str = replace(str,"delete ","")
        str = replace(str,"drop ","")
        str = replace(str,"-shutdown","")
 

Suerte

[Cameron_2006]

Gracias Adler por constante ayuda, tu dices algo así:

<%
FUNCTION corregirComillas( cadena )
strNuevaCadena = REPLACE( cadena, "'", "''")
strNuevaCadena = REPLACE(strNuevaCadena, "<", "")
strNuevaCadena = REPLACE(strNuevaCadena, ">", "")
strNuevaCadena = REPLACE(strNuevaCadena, "%", "")
strNuevaCadena = REPLACE(strNuevaCadena, "*", "")
strNuevaCadena = REPLACE(strNuevaCadena, "INSERT INTO", "")
strNuevaCadena = REPLACE(strNuevaCadena, "DELETE FROM", "")
strNuevaCadena = REPLACE(strNuevaCadena, "IFRAME", "")
strNuevaCadena = REPLACE(strNuevaCadena, "=","")
strNuevaCadena = REPLACE(strNuevaCadena," or ","")
strNuevaCadena = REPLACE(strNuevaCadena," and ","")
strNuevaCadena = REPLACE(strNuevaCadena,")","")
strNuevaCadena = REPLACE(strNuevaCadena,"(","")
strNuevaCadena = REPLACE(strNuevaCadena,"having ","")
strNuevaCadena = REPLACE(strNuevaCadena,"group by","")
strNuevaCadena = REPLACE(strNuevaCadena,"union select sum","")
strNuevaCadena = REPLACE(strNuevaCadena,"union select min","")
strNuevaCadena = REPLACE(strNuevaCadena,"--","")
strNuevaCadena = REPLACE(strNuevaCadena,"select ","")
strNuevaCadena = REPLACE(strNuevaCadena,"insert ","")
strNuevaCadena = REPLACE(strNuevaCadena,"update ","")
strNuevaCadena = REPLACE(strNuevaCadena,"drop ","")
strNuevaCadena = REPLACE(strNuevaCadena,"-shutdown","")
corregirComillas = strNuevaCadena
END FUNCTION
%>

[Adler]

Hola

Sí, solo te ha faltado el Trim y poner la cadena en mayúsculas o minúsculas

Código asp:

FUNCTION corregirComillas( cadena )
strNuevaCadena = trim(cadena)
strNuevaCadena = lcase(strNuevaCadena)
.....
 

Suerte

[kyu24]

yo tengo una muy sencilla que quizas te sirva

---------------------------------------
formulario html:
---------------------------------------
<form method="post" action="password.asp">
<p>USUARIO<BR>
<input type="text" name="USU">
<br>
<br>
CONTRASE&Ntilde;A<br>
<input type="password" name="CON">
<br>
<br>

<input type="submit" value="Entrar">
<input type="reset" value="Limpiar">
</p>
-------------------------------------------------
codigo asp-------------->password.asp
-------------------------------------------------

<%
usuario1=request.form("USU")
clave1=request.form("CON")

set conexion=server.createobject("ADODB.connection")
basedatos="DRIVER=Microsoft Access Driver (*.mdb);DBQ="&Server.MapPath("/Db/*.mdb")
conexion.open basedatos
sql="select * from usuarios where usuario='"&usuario1&"'and clave='"&clave1&"';"
set tabla=conexion.execute(sql)

if(tabla.EOF) then
%>
<script language="JavaScript">
window.alert("Tu Contraseña es Errónea")
history.back(-1)
</script>

<%else%>

<script language="JavaScript">
window.alert("Tu Contraseña es Correcta")
location.href("acceso.htm")
</script>
<%end if%>

----------------------------------------------------------

espero que te sirva

un saludo

[Cameron_2006]

Gracias a ambos, ya me funcionó lo que me dijo Adler, mil gracias ya voy a abrir otro tema, es que no salgo de una...

[Adler]

Iniciado por Cameron_2006

Gracias a ambos, ya me funcionó lo que me dijo Adler, mil gracias ya voy a abrir otro tema, es que no salgo de una...

Así andamos todos