PHP

une erreur que j'avais jamais vu

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : une erreur que j'avais jamais vu

thomas0302

bonjour,

pour le nouveau site que je suis en train de créer, j'ai mis un système de membres.
mais quand j'essaye de me conncter, je remplis le formulaire de connexion, je valide et j'ai une erreur bizzare :

Citation :

Erreur de syntaxe près de 'azerty' à la ligne 1.

(azerty est mon passe pour mes tests)

je viens de passer 2 heures a chercher d'où cela pouvait provenir et je voit pas du tout

je mettrai mes fichiers demain (et si il y a besoin)

Publicité

Ayuget

R.oger

il manque un ; a la ligne 38.

Plus sérieusement, sans le code, on pourra pas te dire.

thomas0302

le code est sur un autre ordi, je l'uploaderai demain

mais a la ligne 1 y'a juste

Citation :

<?php

j'ai sauté une ligne avant de commencer a ecrire le reste

edit :

Code :

<?php
if( isset($_POST['pseudo']) AND isset($_POST['pass']) ) //si les champs sont remplis
{
mysql_connect("localhost","root","" ) or die(mysql_error());
mysql_select_db("test" ) or die(mysql_error());
$reponse = mysql_query('SELECT * FROM membres WHERE pseudo=\'' .$_POST['pseudo']. ' AND pass=\'' .$_POST['pass']. '') or die(mysql_error()); //on cherche si le membre existe
while( $donnees = $reponse ) //si les données entrées sont correctes
{
$datedefin = time()+365*24*3600;
setcookie('Pseudo', $donnees['pseudo'] , $datedefin);
setcookie('Pass', $donnees['pass'] , $datedefin);
?>Vous êtes à présent connectés<?php //on crée les cookies et on informe l'usager
}
}
else
{?>Veuillez remplir tous les champs
<?php }
mysql_close(); //on oublie surtout pas de fermer mysql ?>
<a href="index.php">Revenir à la page d'accueil</a>

Message cité 1 fois
Message édité par thomas0302 le 18-03-2007 à 17:23:38

dreamkiller

euuuuuuuu
y a des truc etranges dans ton code.
Déja il est complet? parceque dans se cas tu le ferme ou le premier <?php??
Ensuite pourquoi tu ferme une balise php pour afficher du texte un simple echo "montexte"; suffit

rufo

Pas me confondre avec Lycos!

AND, ça existe ça, dans un test php :??: normalement, c'est && qu'il faut utiliser...
if ( (isset($_POST['pseudo'])) && (isset($_POST['pass'])) ) {
...
}

Message cité 1 fois

anapajari

s/travail/glanding on hfr/gs;

Euh, l'erreur de syntaxe est évaluée avant l'éxécution du script donc je vois pas trop comment le azerty viendrait de $_POST.

A mon avis tu dois avoir la chaine azerty qui traine quelque part dans du code php...

Message cité 1 fois

RiderCrazy

Code :

mysql_close(); //on oublie surtout pas de fermer mysql ?>

Code :

mysql_close(); //on oublie surtout pas de fermer mysql
?>

serait mieux à mon avis...

Message cité 2 fois

nORKy

Grmmph...

RiderCrazy a écrit :

Code :

mysql_close(); //on oublie surtout pas de fermer mysql ?>

Code :

mysql_close(); //on oublie surtout pas de fermer mysql
?>

serait mieux à mon avis...

Pas d'accord. On est pas obligé de fermé la balise PHP à la fin du fichier.
Au contraire, ca évite les erreurs de type 'cannot send header... already send...'
Genre qu'on on oublis des sauts de ligne à la fin du fichier

Message cité 2 fois

anapajari

s/travail/glanding on hfr/gs;

nORKy a écrit :

[:grinking] du grand art ...

gatsu35

Blablaté par Harko

nORKy a écrit :

Ok lol

Publicité

Master p

My new cock ring :D

thomas0302 a écrit :

Code :

$reponse = mysql_query('SELECT * FROM membres WHERE pseudo=\'' .$_POST['pseudo']. ' AND pass=\'' .$_POST['pass']. '') or die(mysql_error()); //on cherche si le membre existe

Genre c'est dure de préciser que c'est une erreur mysql [:moule_bite] ?
Une apostrophe est manquante à la fin de la requête, et tu le verrais de suite si tu affichais, en plus de l'erreur sql, la requête elle-même, dans le die().

Message cité 2 fois

---------------
HAHAHA I M USING TEH INTERNET

nORKy

Grmmph...

Master p a écrit :

Presque ca, je dirais même qu'il manque également, au vu de la façon dont c'est écrit, un inhibiteur.

Code :

$reponse = mysql_query('SELECT * FROM membres WHERE pseudo=\'' .$_POST['pseudo']. ' AND pass=\'' .$_POST['pass']. '\'') or die(mysql_error());

Message cité 1 fois
Message édité par nORKy le 19-03-2007 à 14:33:59

soju

One shot !

thomas0302 : quant tu auras corrigé l'erreur de syntaxe, prend le temps de te renseigner sur les "injections sql"

Message cité 1 fois

thomas0302

rufo a écrit :

AND, ça existe ça, dans un test php :??: normalement, c'est && qu'il faut utiliser...
if ( (isset($_POST['pseudo'])) && (isset($_POST['pass'])) ) {
...
}

bah j'ai deja vu des AND (chez des pros (enfin normalement ^^)) alors je fais pareil :spamafote:

anapajari a écrit :

bah non pourtant

RiderCrazy a écrit :

Code :

mysql_close(); //on oublie surtout pas de fermer mysql ?>

Code :

mysql_close(); //on oublie surtout pas de fermer mysql
?>

serait mieux à mon avis...

en fait j'ai ajouté le commentaire après, pas fais gaffe

Master p a écrit :

et comment je sais que c'est une erreur sql alors qu'il me dit erreur a la ligne 1 et qu'a la ligne 1 y'a pas de sql

Message cité 1 fois
Message édité par thomas0302 le 19-03-2007 à 20:37:13

Master p

My new cock ring :D

thomas0302 a écrit :

et comment je sais que c'est une erreur sql alors qu'il me dit erreur a la ligne 1 et qu'a la ligne 1 y'a pas de sql

Réfléchis un peu à ce que tu fais. Tu arrêtes le script si la requête SQL provoque une erreur. Au lieu d'indiquer juste le contenu de l'erreur mysql, tu fais une jolie concaténation genre 'Erreur SQL : '.$sql.' '.mysql_error()
Ça t'inspirera peut-être un peu plus...

---------------
HAHAHA I M USING TEH INTERNET

NewsletTux

<Insérez ici votre vie />

soju a écrit :

thomas0302 : quant tu auras corrigé l'erreur de syntaxe, prend le temps de te renseigner sur les "injections sql"

thomas0302

malgré tous vos conseils, j'ai toujours la meme erreur

Code :

<?php
if( isset($_POST['pseudo']) && isset($_POST['pass']) ) //si les champs sont remplis
{
mysql_connect("localhost","root","" );
mysql_select_db("test" );
$reponse = mysql_query('SELECT * FROM membres WHERE pseudo=\'' . $_POST['pseudo'] . ' AND pass=\'' . $_POST['pass'] . '\'') or die(mysql_error()); //on cherche si le membre existe
if( $donnees = $reponse ) //si les données entrées sont correctes
{
$datedefin = time()+365*24*3600;
setcookie('pseudo', $donnees['pseudo'] , $datedefin);
setcookie('pass', $donnees['pass'] , $datedefin);
echo 'Vous êtes à présent connectés'; //on crée les cookies et on informe l'usager
}
}
else
{
echo 'Veuillez remplir tous les champs';
}
mysql_close(); //on oublie surtout pas de fermer mysql
?>
<a href="index.php">Revenir à la page d'accueil</a>

Message cité 1 fois

sielfried

Parce que t'as toujours pas rajouté l'apostrophe manquante... :sleep:

Et +1 pour les injections SQL (mysqli's your friend).

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

thomas0302

nORKy a écrit :

Presque ca, je dirais même qu'il manque également, au vu de la façon dont c'est écrit, un inhibiteur.

Code :

$reponse = mysql_query('SELECT * FROM membres WHERE pseudo=\'' .$_POST['pseudo']. ' AND pass=\'' .$_POST['pass']. '\'') or die(mysql_error());

j'ai recopié ce qu'on m'a dit ici

Message cité 1 fois

sielfried

Il en manque une autre, ouvre un peu les yeux ou affiche la requête avec un echo, je sais pas... :x

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

omega2

Voilà ce que donne ta requête :

Code :

SELECT * FROM membres WHERE pseudo='mon pseudo AND pass='motdepasse'

Elle est où l'erreur à ton avis?

En passant comme ca t'as déjà été signalé plus haut sous le terme d' "injection sql" je peux modifier ta requette comme je veux en mettant des mots de passe ou des peudos bidons. En fait, je peux même me conecter sans conaitre le moindre mot de passe et donc me faire passer pour n'importe qui (y compris l'admin)
Exemple :
pseudo saisie = "admin"
mot de passe saisie = " ' or 1=1 or 'pass=' "
ce qui donnera comme requette (quand t'auras corrigé ton erreur) :

Code :

SELECT * FROM membres WHERE pseudo='admin' AND pass=' ' or 1=1 or 'pass=' '

Et voilà, je suis connecté et pourtant je ne conais pas le mot de passe.

PS : Dans l'exemple présent, c'est de l'injection sql assez gentille et pourtant potentiellement trés dangeureuse vu que ca permet à n'importe qui de modifier ce qu'il veut dans les limites du systémes d'administration du site. Cependant si la personne s'amuse à faire des requettes imbriqués, (mettre des requettes dans une requette) elle peut bloquer ton serveur sql en saturant le processeur et elle pourrait également modifier les données stockés dans la base.

PS2 : En php5 et php6 (le 4 il me semble aussi mais je ne suis pas sur) on peut mettre indifferament "&&" et "AND" ainsi que "||" et "OR". Par contre, "&&" et "||" ont un niveau de priorité différent de "AND" et "OR" ce qui fait que ca peut entrainer des résultats différents dans certains cas.

Message cité 2 fois

Master p

My new cock ring :D

thomas0302 a écrit :

j'ai recopié ce qu'on m'a dit ici

C'est pour ça que je ne t'ai pas donné pas la réponse directement. On t'a dit le problème, tu le résouds, ou sinon tu reviendras une heure après nous dire que t'as une nouvelle erreur.

---------------
HAHAHA I M USING TEH INTERNET

RiderCrazy

thomas0302 a écrit :

Code :

if( $donnees = $reponse ) //si les données entrées sont correctes

Ton test est foireux là... enfin, ça veut rien dire. $donnees n'est pas initialisé et reponse c'est juste la référence de ta requête.

Sinon, faudrait revoir ta requête, l'erreur vient de là [:spamafote]

Code :

'SELECT * FROM membres WHERE pseudo=\'' . $_POST['pseudo'] . '\' AND pass=\'' . $_POST['pass'] . '\''

juste en corrigeant, pas d'amélioration

edit: Overburned... poster en bossant, caimal. et gros +1 pour les injections

Message édité par RiderCrazy le 20-03-2007 à 16:57:24

Master p

My new cock ring :D

omega2 a écrit :

PS2 : En php5 et php6 (le 4 il me semble aussi mais je ne suis pas sur) on peut mettre indifferament "&&" et "AND" ainsi que "||" et "OR". Par contre, "&&" et "||" ont un niveau de priorité différent de "AND" et "OR" ce qui fait que ca peut entrainer des résultats différents dans certains cas.

Ce langage est une vaste blague [:dawak]

---------------
HAHAHA I M USING TEH INTERNET

sielfried

C'est pareil en Ruby, donc ça peut pas être un défaut de PHP.

Message cité 1 fois

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

thomas0302

omega2 a écrit :

Voilà ce que donne ta requête :

Code :

SELECT * FROM membres WHERE pseudo='mon pseudo AND pass='motdepasse'

Elle est où l'erreur à ton avis? en effet, c'est pas beau :ack:

En passant comme ca t'as déjà été signalé plus haut sous le terme d' "injection sql" je peux modifier ta requette comme je veux en mettant des mots de passe ou des peudos bidons. En fait, je peux même me conecter sans conaitre le moindre mot de passe et donc me faire passer pour n'importe qui (y compris l'admin)
Exemple :
pseudo saisie = "admin"
mot de passe saisie = " ' or 1=1 or 'pass=' "
ce qui donnera comme requette (quand t'auras corrigé ton erreur) :

Code :

SELECT * FROM membres WHERE pseudo='admin' AND pass=' ' or 1=1 or 'pass=' '

Et voilà, je suis connecté et pourtant je ne conais pas le mot de passe. comment faire pour l'empecher alors ?

PS : Dans l'exemple présent, c'est de l'injection sql assez gentille et pourtant potentiellement trés dangeureuse vu que ca permet à n'importe qui de modifier ce qu'il veut dans les limites du systémes d'administration du site. Cependant si la personne s'amuse à faire des requettes imbriqués, (mettre des requettes dans une requette) elle peut bloquer ton serveur sql en saturant le processeur et elle pourrait également modifier les données stockés dans la base.

PS2 : En php5 et php6 (le 4 il me semble aussi mais je ne suis pas sur) on peut mettre indifferament "&&" et "AND" ainsi que "||" et "OR". Par contre, "&&" et "||" ont un niveau de priorité différent de "AND" et "OR" ce qui fait que ca peut entrainer des résultats différents dans certains cas.

Master p

My new cock ring :D

sielfried a écrit :

C'est pareil en Ruby, donc ça peut pas être un défaut de PHP.

En y repensant, c'est vrai que c'est une fonctionnalité très intéressante [:petrus75]

---------------
HAHAHA I M USING TEH INTERNET

sielfried

Citation :

comment faire pour l'empecher alors ?

http://fr.php.net/manual/fr/functi [...] repare.php

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

thomas0302

merci pour le lien (meme si je comprends rien, je relirai ça demain a tête reposée)

Message édité par thomas0302 le 22-03-2007 à 16:25:32

Publicité

FORUM HardWare.fr

Programmation

PHP

une erreur que j'avais jamais vu

Sujets relatifs
erreur Access Violation	erreur en c++ sous ubuntu
Erreur php/mysql	Erreur d'affichage du <div> d'une page dans le <div> d'une autre page
Erreur PHP/FTP - Warning: ftp_fget()	Erreur Compilation stray '\357'
[Résolu] [Oracle10g] Erreur connexion au serveur	[python] erreur que je ne comprends pas
.	[RESOLU] 1 erreur de validation (x)HTML 1.0 Transitional
Plus de sujets relatifs à : une erreur que j'avais jamais vu

Page générée en 0.092 secondes