Página protegida, no puedo ingresar

[marciano_79]

Hola estimados todos... hace un tiempo tenia funcionando bien un formulario de inicio de sesión para administrador, pero un seudo “experto” le echo mano para mayor seguridad y ahora no sé qué es lo que hizo que no me deja ingresar…
Les dejo los script, haber si alguien puede ayudarme a observar qué errores hay… estuve haciendo pruebas como de usuarios y contraseñas y todo funciona bien, el problema radica en la función que protege el acceso a la página… “es lo que creo”

Dejo los codigos a continuación...

INDEX.PHP

Código PHP:

require('conexion.php'); 
sec_session_start(); // Esta funcion detiene a JavaScript en ataques a la identificación de la sesión.  
 
    if (login_check($cnx) == true){
        header("Location: ver.php");
    }
 
    if (isset($_POST['email'], $_POST['password'])) {
        $email = mysqli_real_escape_string($cnx,$_POST['email']);
        $password = mysqli_real_escape_string($cnx,$_POST['password']);
        $error = '';
        
        $sha1_pass = sha1($password);
    
    if (login($email, $sha1_pass, $cnx) == true) {
        // Login success 
        header("Location: ver.php");
        exit();
        } else {
            $error = "El nombre o contraseña son incorrectos";
        }
}
 

Código HTML:

<form action="<?php $_SERVER['PHP_SELF']; ?>"  method="post">
                        <h1>Login</h1>
                        <div>
                            <input  name="email" type="text" placeholder="Usuario">
                        </div>
                        <div>           
                            <input  name="password" type="password" id="password" placeholder="Password">
                        </div>
                        <div>
                            <label>
                                <input type="checkbox" name="remember_me">
                                Recuerdame
                            </label>
                        </div>
                        <input type="submit" value="Entrar"/>
                    </form>
 

FUNCIONES.PHP

Código PHP:

function sec_session_start() {
    $session_panel_admin = 'user_id';   // Configura sesión personalizado.
    $secure = 'SECURE';
    // Esto detiene que JavaScript sea capaz de acceder a la identificación de la sesión.
    $httponly = true;
    // Obliga a las sesiones a solo utilizar cookies.
    if (ini_set('session.use_only_cookies', 1) === FALSE) {
        header("Location: ../error.php?err=Could not initiate a safe session (ini_set)");
        exit();
    }
    // Obtiene los params de los cookies actuales.
    $cookieParams = session_get_cookie_params();
    session_set_cookie_params($cookieParams["lifetime"],
        $cookieParams["path"], 
        $cookieParams["domain"], 
        $secure,
        $httponly);
    // Configura el nombre de sesión al configurado arriba.
    session_name($session_panel_admin);
    session_start();            // Inicia la sesión PHP.
    session_regenerate_id();    // Regenera la sesión, borra la previa. 
}
 
 
 
 
function login($email, $sha1_pass, $cnx) {
    // Usar declaraciones preparada - inyección de SQL no será posible.
    if ($stmt = $cnx->prepare("SELECT ID_USUARIO, NOMBRE, PASSWORD 
        FROM usuarios
       WHERE EMAIL = ?
        LIMIT 1")) {
        $stmt->bind_param('s', $email);  // Une “$email” al parámetro.
        $stmt->execute();    // Ejecuta la consulta preparada.
        $stmt->store_result();
        
        // Obtiene las variables del resultado..
        $stmt->bind_result($user_id, $username, $db_password);
        $stmt->fetch();
        
        if ($stmt->num_rows == 1) {
 
        if ($db_password == $sha1_pass) {   
        //¡La contraseña es correcta!
        //Obtén el agente de usuario del usuario.
            $user_browser = $_SERVER['HTTP_USER_AGENT'];
        // Protección XSS ya que podríamos imprimir este valor.
            $user_id = preg_replace("/[^0-9]+/", "", $user_id);
            $_SESSION['user_id'] = $user_id;
 
        // Protección XSS ya que podríamos imprimir este valor.
            $username = preg_replace("/[^a-zA-Z0-9_\-]+/", "", $username);
 
            $_SESSION['username'] = $username;
            $_SESSION['login_string'] = ($sha1_pass . $user_browser);
 
        // Inicio de sesión exitoso. 
            return true;
            } else {
                return false;
            }
        }
    }
}
 

El problema creo que radica en esta parte de la función login_check..

Código PHP:

function login_check($cnx) {
    // Revisa si todas las variables de sesión están configuradas. 
    if (isset($_SESSION['user_id'], $_SESSION['username'], $_SESSION['login_string'])) {
       $user_id = $_SESSION['user_id'];
       $username = $_SESSION['username'];
       $login_string = $_SESSION['login_string'];
        
 
        // Obtiene la cadena de agente de usuario del usuario.
    $user_browser = $_SERVER['HTTP_USER_AGENT'];
 
    if ($stmt = $cnx->prepare("SELECT PASSWORD 
                  FROM usuarios 
                  WHERE ID_USUARIO = ? LIMIT 1")) {
        // Une “$user_id” al parámetro.
            $stmt->bind_param('i', $user_id);
            $stmt->execute();   // Ejecuta la consulta preparada.
            $stmt->store_result();
 
            if ($stmt->num_rows == 1) {
                // Si el usuario existe, obtiene las variables del resultado.
                $stmt->bind_result($sha1_pass);
                $stmt->fetch();
                $login_check = $sha1_pass;
 
                if ($login_check == $login_string) {
                    // ¡¡Conectado!! 
                    return true;
                } else {
                    // No conectado. 
                    return false;
                }
            } else {
                // No conectado. 
                return false;
            }
        } else {
            // Could not prepare statement
            header("Location: ../error.php?err=Database error: cannot prepare statement");
            exit();
        }
    } else {
        // No conectado.
        return false;
   }
}
 

Y esta es la pagina protegida

VER.PHP

Código PHP:

require('conexion.php');
include_once 'includes/functions.php';
sec_session_start();
<?php if (login_check($cnx) == true) : ?>
        <p>Bienvenido <?php echo ($_SESSION['username']); ?>!</p>
            <p>
             Lorem ipsum dolor sit amet, consectetur adipiscing elit, sed do eiusmod tempor incididunt ut labore et dolore magna aliqua.
            </p>
            <p>Retornar a <a href="index.php">Página de acceso</a></p>
        <?php else : ?>
            <p>
                <span class="error">Usted no esta autorizado al acceso de esta página.</span> Favor <a href="index.php">Inicie sesión</a>.
            </p>
        <?php endif; ?>
 

Cualquier info, quedo muy agradecido... ojala me puedan ayudar! saludos a todos..

[xerifandtomas]

Estaría bien que nos indica ses el comportamiento del Script, si da algún error y tal. Y que diferencias hay con el Script anterior.

[marciano_79]

Hola estimado… la verdad ya no podre hacer nada con esta cosa, la persona que page para que me creara el formulario brilla por su ausencia.. hace poco me di cuenta que faltan script... modificó de tal forma mi formulario que ni siquiera realizo un respaldo del mismo.. y bueno también es mi culpa, no tener esa precaución y ser confiado… gracias amigo por intentar ayudarme, veré como hago un nuevo formulario, aunque sea algo más sencillo..! Saludos..

[xerifandtomas]

Pero cual es el error o que es lo que hace. Desconozco tus conocimientos pero seguro que puedes ser un poco más explicativo sobre el problema en cuestión. Y con un poco de paciencia seguro alguien te puede ayudar por aquí.

Pero piensa que generalmente no vamos a ejecutar el código en nuestra máquina, lo haremos mentalmente y siempre ayuda saber donde te está dando el problema exactamente.

[marciano_79]

Ok amigo gracias.. mira el problema en cuestion era que yo tenia un inicio de sesion para un admin muy simple (vulnerable) en todo aspecto.. por ello busque quien me ayudara a darle más seguridad.. pero lo dejaron mal, muy mal diria yo...

Ahora estoy modificando esta cosa... te dejo el script de los que tengo..

index.php (donde esta el formulario)

Código PHP:

require('_conex.php');
include ('includes/funciones.php');
 
sec_session_start();
    
    if(isset($_SESSION["id_usuario"])){
        header("Location: ver.php");
    }
    
    if(!empty($_POST))
    {
        $email = mysqli_real_escape_string($cnx,$_POST['email']);
        $password = mysqli_real_escape_string($cnx,$_POST['pass']);
        $error = '';
        
        $sha1_pass = sha1($password);
        
        $consulta = "SELECT ID_USUARIO, NOMBRE FROM usuario_admin WHERE EMAIL = '$email' AND PASSWORD = '$sha1_pass'";
        $result=$cnx->query($consulta);
        $rows = $result->num_rows;
        
        if($rows > 0) {
            $row = $result->fetch_assoc();
            $_SESSION['id_usuario'] = $row['ID_USUARIO'];
            $_SESSION['nombre'] = $row['NOMBRE'];
            
            header("location: ver.php");
            } else {
            $error = "El nombre o contraseña son incorrectos";
        }
    }
 

y el archivo funciones.php

Código PHP:

function sec_session_start() {
    $session_admin_panel = 'id_usuario';   // Set a custom session name 
    $secure = "SECURE";
 
    // detengo JavaScript para intentos de accion.
    $httponly = true;
 
   
    if (ini_set('session.use_only_cookies', 1) === FALSE) {
        header("Location: ../index.php");
        exit();
    }
 
  
    $cookieParams = session_get_cookie_params();
    session_set_cookie_params($cookieParams["lifetime"], 
    $cookieParams["path"], 
    $cookieParams["domain"], 
    $secure, 
    $httponly);
 
    
    session_name($session_admin_panel);
 
    session_start();            // inicio sesion
    session_regenerate_id();    //regenero nueva sesion 
}
 

hasta aqui todo bien.. ahora mi problema que tengo de fondo es asegurar el archivo ver.php

Donde estaría el panel.. lo que no puedo hacer es crear una función que evite el ingreso a esta página vía url.. saltándose el login y la idea es que los vuelva a redirigir al index en caso de que se intente.... y yo no tengo idea como trabajar funciones para este caso.. Gracias por tu buena disposición.!