Foro de elhacker.net

Hola a todos. Hace un tiempo Engel Lex y !drvy me ayudaron con el tema de la encriptacion de las contraseñas al insertarlas en las BD. Estaba usando el método

crypt($pass, $salt)

pero según la documentación de PHP,

password_hash($string, PASSWORD_DEFAULT)

tiene un mayor cifrado. Pues bien, en este caso, está contraindicado utilizar un $salt y de hecho en futuras versiones será eliminada la opción. Pues bien, mi problema: Cuando realizo el registro en la BD lo hago de la siguiente forma:

//Página de registro
include "bd.php"
//recoger datos del formulario
        $user=$_POST['usuario'];
	$pass=$_POST['password'];
 
//cifrar la contraseña para añadirla a la BD
$cifrar=password_hash($pass, PASSWORD_DEFAULT);
 
$sql="insert into $tabla1 (usuario, password, rank) values ('$user', '$cifrar', 1)";
$consulta = $mysqli->query ($sql) or die ("Problemas al insertar datos:<br>".mysqli_error($mysqli));
 

Y creeme que inserta los datos a la perfección. Ahora... cuando voy a acceder a esos datos, hago lo siguiente:

//Página de registro
include "bd.php"
//recoger datos del formulario
        $user=$_POST['usuario'];
	$pass=$_POST['password'];
 
//cifrar la contraseña para añadirla a la BD
$cifrar=password_hash($pass, PASSWORD_DEFAULT);
 
$sql="select * from $tabla1 where usuario='$user' LIMIT 1";
$consulta = $mysqli->query($sql) or die ("Usuario no encontrado");
$reg = $consulta->fetch_array();
 
if (password_verify($cifrar, $reg['password'])) 
        {
                echo "Las contraseñas coinciden";
	}
else
	{
		echo "Password enviado: ".$cifrar."<br>";
		echo "Password almacenado: ". $reg['password'];
	}
 

Pero lo que hace es generar un nuevo hash en vez de generar el mismo. Probé escribiendo como contraseña 12345678 para descartar que fuera que escribía mal la contraseña pero nada. No funciona. Y sé que estoy haciendo algo mal porque si es una función recomendada, debe funcionar bien

estás guardando la contraseña como hash y estás comparando con el texto en limpio, eso obviamente no va a funcionar, si usas password_hash tienes que usar

http://php.net/manual/es/function.password-verify.php (http://php.net/manual/es/function.password-verify.php)

Gracias. Ya vi que lo que estaba haciendo era cifrar nuevamente antes de comparar. No me habia dado cuenta que el password_verify lleva el string original y el hash que está guardado. Ok. Tema resuelto entonces