@Thedarkita said:

Ciao scartus,
dovresti utilizzare una tabella per tenere uno storico dei tentativi di accesso da un determinato IP per bloccare solo quell'IP, oppure bloccare direttamente l'account a cui si tenta di accedere, la prima soluzione mi sembra comunque migliore.

Fai attenzione perchè quello script è vulnerabile a SQL INJECTION, per maggiori informazioni in merito ti rimando alla guida che avevo scritto:

Si hai ragione mi ero scordato l'escape.

Per quanto riguarda il numero di tentativi dici che è meglio farlo sull'ip?
E invece agendo sul nome, è meglio fare un numero di tentativi e bloccare per un periodo predefinito o bloccarlo definitivamente? Forse hai ragione meglio poche possibilità ma bloccando l'ip..

login : $user e $pass li passi alla query senza fare un controllo su ciò che ti ha inviato l'utente.

@infosicurezza said:

login : $user e $pass li passi alla query senza fare un controllo su ciò che ti ha inviato l'utente.

Si si ho capito mi ero dimenticato l'escape. Ho usato il metodo che mi ha suggerito ​Thedarkita sul suo post. Da quello che ho capito ci sono diversi metodi di escape. Tu quale suggerisci?

Utilizzando mysql_real_escape_string

Perfetto grazie, e per la limitazione degli accessi come ti muoveresti? bloccando l'ip o l'username?

Ma bloccando l'ip non è una mossa giusta, vai a bloccare un indirizzo IP pubblico che cambia ad ogni connessione (Se spengo e riaccendo il router ottengo 1 altro indirizzo ip e accedo comunque al tuo sito) oppure mi metto un proxy e accedo lo stesso al tuo sito....

Io bloccherei l'indirizzo email registrato.

@infosicurezza said:

Ma bloccando l'ip non è una mossa giusta, vai a bloccare un indirizzo IP pubblico che cambia ad ogni connessione (Se spengo e riaccendo il router ottengo 1 altro indirizzo ip e accedo comunque al tuo sito) oppure mi metto un proxy e accedo lo stesso al tuo sito....

Io bloccherei l'indirizzo email registrato.
Pero pensandoci se io provo ad accedere 20 volte con l'account infosicurezza e te lo blocco poi tu che fai? Cioè potrei bloccare qualsiasi account che vedo su un forum ad esempio. Se invece blocco l'ip dopo 3 accessi complico la vita a chi deve mettersi a spegnere e riaccendere o a cambiarsi ip piu e piu volte.. magari gli passa la fantasia... Senno si metterebbe chiunque a bloccare username e email

No perdonami,
ma per me non ha senso ciò che hai scritto, o meglio non ho capito io cosa intendi che puoi bloccare qualsiasi account.
A questo punto credo che tu voglia bloccare un utente o ad esempio un bot, che tenta di accedere X volte sbagliando di continuo user o password.

A quel punto, dopo circa 3 / 5 tentativi gli fai uscire il codice captcha da inserire (Se è un bot, la smetterà visto che non conosce il codice), se continua allora prendi le giuste precauzioni IP o User a tua scelta e per sbloccarlo gli mandi il link su email.

@infosicurezza said:

No perdonami,
ma per me non ha senso ciò che hai scritto, o meglio non ho capito io cosa intendi che puoi bloccare qualsiasi account.
A questo punto credo che tu voglia bloccare un utente o ad esempio un bot, che tenta di accedere X volte sbagliando di continuo user o password.

A quel punto, dopo circa 3 / 5 tentativi gli fai uscire il codice captcha da inserire (Se è un bot, la smetterà visto che non conosce il codice), se continua allora prendi le giuste precauzioni IP o User a tua scelta e per sbloccarlo gli mandi il link su email.

Parlavo del caso in cui non inserissi nessun captcha. se bloccassi un username solamente perche ha sbagliato password 5 volte. Chiunque potrebbe scrivere 5 volte il mio username e bloccarmi l'accesso.

Anche inserendo il codice captcha vorrei che l'username (o l'ip) fosse bloccato per tot minuti. Pero bloccando l'username torniamo al problema appena descritto

Eh ho capito ora...
ma devi prendere una decisione su come agire, e ripeto per me la cosa più sensata è quella di mettere un captcha per capire se è un bot o un umano.
Se proprio non vuoi, allora c'è poco da fare, non conosci l'identità della persona quindi blocchi l'indirizzo IP a monte e non fai eseguire query al database.

Se anche inserissi un captcha io persona umana potrei bloccare il tuo username!

Se un giorno non avessi nulla da fare e venissi sul forum GT e provassi ad inserire per 5 volte il tuo username te lo bloccherei perche sbaglio la password e tu non potresti piu entrare. Cosi solo pe ril gusto di farlo. Quindi non basta il captcha come misura. Blocca i bot ma non blocca le persone stupide. Quindi ci vuole una combo.

Intanto credo che sia fondamentale capire di che tipo di login si tratta.

Se il login lo deve poter fare una sola persona è una cosa, se invece devono poter loggare diverse persone da diversi computer allora il discorso è diverso.

Io intanto farei che se uno sbaglia l'username al secondo tentativo sbagliato viene bloccato per N minuti, così intanto blocchi i bot.
Ma ovviamente questa soluzione non va bene per i forum e gli accessi a siti in cui gli username sono pubblici.

Il captcha come soluzione lo eviterei, serve solo a dimostrare di essere una persona e non un bot.