Nach 3 erfolglosen Loginversuchen Sperre für XX Sekunden

[jpwfour]

So, da das an sich nicht viel Aufwand sein sollte, hier mal ne schnelle Anleitung dazu:

SQL:

ALTER TABLE `vms_kontodaten` ADD `f_logins` TINYINT( 2 ) NOT NULL DEFAULT '0',
ADD `f_time` INT( 11 ) NOT NULL ;

datei lib/session.lib.php:

suchen:

    // Wenn es den User garnicht giebt    
    } else {
    $_GET['content'] = '/error/kein_zutritt';
    } 

ersetzen:

    // Wenn es den User garnicht giebt    
    } else {
    $_GET['content'] = '/error/kein_zutritt';
    db_query('UPDATE '.$db_prefix.'_kontodaten k, vms_userdaten u SET k.f_logins=k.f_logins+1, 

k.f_time='.time().' WHERE u.nickname="'.$_POST['nickname'].'" AND k.uid=u.uid ');
    }
    
    } 

jetzt werden schon mal falsche logins geloggt, und die dazugehörige zeit.

dann suchen:

// Login
if ($_POST['checkid'] == 'Login' && $_POST['nickname'] && $_POST['passwort']) { 

ersetzen mit:

// Login
if ($_POST['checkid'] == 'Login' && $_POST['nickname'] && $_POST['passwort']) {

    $f_check = mysql_fetch_array(db_query('SELECT k.f_logins,k.f_time FROM '.$db_prefix.'_kontodaten k 

LEFT join '.$db_prefix.'_userdaten u ON u.uid=k.uid WHERE u.nickname="'.addslashes($_POST['nickname']).'" 

LIMIT 1'));
    if($f_check['f_logins']>2 && $f_check['f_time']>(time()-600)){
    $_GET['content'] = '/error/kein_zutrit';
    }else{
    if($f_check['f_logins']>2){
    db_query('UPDATE '.$db_prefix.'_kontodaten k, vms_userdaten u SET k.f_logins=0 WHERE 

u.nickname="'.addslashes($_POST['nickname']).'" AND k.uid=u.uid ');
    } 

kontne ich selber noch nicht testen, wäre nett, wenn das mal jemand macht und sein ergebnis hier postet

funktionsweise:

nach 3 maliger falscher eingabe des passworts zu einem vorhandenen usernamen kann man sich unter dem namen 10 minuten lang nicht mehr einloggen, egal ob richtiges passwort oder falsches.

[Hardy]

Super!
Eignet sich besonders um BF Attacken zu erschweren!
Werde ich leider erst am we testen können da ich momentan nur übern laptop online gehe.Aber einbauen auf jedenfall! Wäre eigentlich ein absolutes muss

Aber eventuell noch die ip mitloggen bei falschen einlog versuch

[halk]

Hallo

Supi
ich habe es bei mir jetzt drin ,scheint super zu funzen (jedenfalls kann ich mich nicht mehr anmelden GG. Muss jetzt warten

aber jetzt fehlt da noch was und zwar ein hinweis damit auch jeder sehen kann was los ist zum Beispiel ein hinweis per mail oder so.

Mfg halk

[Xenon]

Mach einfach nach dem user sich nicht einloggen können in dem teil session einfach per js dieses aufspriges script fenster oder du leitest den suer um so wie z.b. auf die seite da wo user keinen zutritt haben

[halk]

Hallo


Danke habe mir jetzt zwei Datein geschrieben einmal mit hinweis und einmal das er gesperrt ist.

ein kleiner Schreibfehler ist noch vorhanden ist aber nicht schimm

$_GET['content'] = '/error/kein_zutrit'; 

[Lokutos]

rechjtschreibefehler im zweiten code steht

 $_GET['content'] = '/error/kein_zutrit'; 

müsste

 $_GET['content'] = '/error/kein_zutritt'; 

sein

aber ich würde eine neue datei anlegen
mit dem inhalt

Datei in den ordner content/error/
mit dem namen falscher_login.php

<?head("Zutritt verweigert");?>
Der Zutritt zu diesem Bereich wurde Dir verweigert!<br>
Es wurde 3 mal ein falsches Passwort eingegeben, <br>
dadurch wurde dein Account bei uns gesperrt!<br>
Dies dient zur Sicherheit!!<br>
bitte warte eine kurze zeit der Account,<br>
 wird automatisch wieder freigeschaltet
<?foot();?>

und dan folgenden code verwenden

// Login
if ($_POST['checkid'] == 'Login' && $_POST['nickname'] && $_POST['passwort']) {

    $f_check = mysql_fetch_array(db_query('SELECT k.f_logins,k.f_time FROM '.$db_prefix.'_kontodaten k 

LEFT join '.$db_prefix.'_userdaten u ON u.uid=k.uid WHERE u.nickname="'.addslashes($_POST['nickname']).'" 

LIMIT 1'));
    if($f_check['f_logins']>2 && $f_check['f_time']>(time()-600)){
    $_GET['content'] = '/error/falscher_login';
    }else{
    if($f_check['f_logins']>2){
    db_query('UPDATE '.$db_prefix.'_kontodaten k, vms_userdaten u SET k.f_logins=0 WHERE 

u.nickname="'.addslashes($_POST['nickname']).'" AND k.uid=u.uid ');
    } 

[darkshadow]

habe folgendes Problem wenn man das Passwort nun falsch eingibt wird man zwar gesperrt und kann sich mit dem Nick nicht einloggen aber mit der Klammid kann man sich trotzdem noch einloggen.