ausgesperrt

[art]

Hallo, seit kurzem funktioniert mein login ins backend von s9y 1.5.5 nicht mehr, wegen angeblichem falschen user / passwort. Passwort reset prozedur ist möglich, aber neuer login wird nicht akzeptiert. Ändern des passworts in der Datenbank tabelle _authors (sha1, hashtype 1) ist möglich, funktioniert auch korrekt, login bleibt weiterhin nicht möglich. Übrigens wenn ich das sha1 passwort selbst kreiere schreibt er das identische passwort in die tabelle wie über passwort reset. Dennoch bekomme ich beim login falscher user / passwort. Jemand eine Idee?

[Timbalu]

Wie ist deine 'Passwort reset Prozedur'?
Kennst du das fixlogin Script?
Interessant wären möglicherweise auch noch Angaben seit Wann/Warum das plötzlich geschah, PHP und MySQL Version.

[art]

Hallo Timbalu,
Prozedur: backend login screen --> Passwort vergessen --> user eingeben --> email empfangen --> passwort ändern --> einloggen --> falscher login
1.5.5 und PHP 5.2.6-1+lenny8,

Inzwischen raus gefunden:

s9y drüber installiert --> gleicher Fehler
s9y parallel installiert mit neuer Datenbank auf gleichem Server, gleicher user, gleiches Passwort --> kein Problem. Passwort Reset Prozedur: kein Problem.

Mir scheint irgend ein file auf dem Server ist korrupt.

[Timbalu]

und hast du das schon probiert?
http://board.s9y.org/viewtopic.php?f=1& ... #p10425456

[kleinerChemiker]

Hast du schon deine Cookies gelöscht?

[art]

Fixin scripts habe ich probiert - mit folgenden Fehlermeldungen:

fixlogin.php
Warning: Unexpected character in input: '\' (ASCII=92) state=1 in /.../.../fixlogin.php on line 8
Warning: Unexpected character in input: '\' (ASCII=92) state=1 in/.../.../fixlogin.php on line 9
Parse error: syntax error, unexpected T_CONSTANT_ENCAPSED_STRING in /.../.../fixlogin.php on line 11

testusers.php
Warning: Unexpected character in input: '\' (ASCII=92) state=1 in /.../.../testusers.php on line 8
Parse error: syntax error, unexpected T_INCLUDE in /.../.../testusers.php on line 9

Mit cookies löschen hatte ich es auch schon probiert - leider kein Effekt...

[Timbalu]

Deutlicher gehts wohl kaum. Die Meldung besagt:
Unexpected character in input: '\' (ASCII=92)
Ascii 92 ist ein "\" Char, der in PHP eine besondere Bedeutung hat.

Am einfachsten und besten wäre ihn wegzulassen bzw durch etwas anderes zu ersetzen, sonst muss man diesen Input irgendwie escapen, also addslashes, oder htmlentities. Allerdings welche Auswirkungen dies wiederum auf das Login und die Speicherung hat, wage ich nicht vorherzusagen.

Ansonsten kann das eventuell auch mit magic_quotes_gpc, magic_quotes_runtime, magic_quotes_sybase Einstellungen (ON) zu tun haben!?

[art]

Mit dem Backslash ist verständlich, allerdings ist in

<?php
$username = "usernameold";
$password = "newpwset";
include 'serendipity_config.inc.php';
echo serendipity_db_query("UPDATE {$serendipity['dbPrefix']}authors SET password = '" . serendipity_hash($password) . "', hashtype=1 WHERE username = '" . serendipity_db_escape_string($username) . "'");
echo "Password changed.";
?>

kein Backslash. Daher hab ichs nicht kapiert woher der Fehler kam.

Habe das fixlogin.php jetzt probeweise in einem anderen editor erstellt und es hat funktioniert! Vielen Dank für die Hilfe!!

[Timbalu]

Sehr gut. Ich dachte, du hättest ihn eventuell im namen oder pwd benutzt.
Es gab wohl auch noch abschließend die Möglichkeit von irgendwelchen Leerzeichen vor oder nach dem öffnenden oder schließenden PHP Tag. Und das war es dann wohl auch...

[bigbear]

Wer sich das Skript sparen will und Zugang zu den Datenbanken mit Phpmyadmin hat:

unter "serendipity_config" den hashkey (zB.:"123123123") kopieren.
Passwort wählen (zB:"passwort")

Die beiden werte kombinieren: (zB.: "123123123passwort")

Dann mittels eines sha1 Generators das neue Passwort generieren.

(zB.: "Die sha1-Prüfsumme von 123123123passwort ist:
29bf44837a94eb877542de6aef0a79342a10a342")

Dann denn Wert des Generators (zB.: "29bf44837a94eb877542de6aef0a79342a10a342") in die Tabelle "serendipity_authors" bei dem Autor dem man ändern will reinkopieren. (unter pass)

Taddaaa... Zugang mit dem Passwort "passwort" sollte möglich sein.