nickpons666/ventas_php
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat(security): Implementar sistema de contraseñas seguro con hashing

Browse Source 
- Añadir hashing bcrypt para todas las contraseñas nuevas y existentes
- Implementar verificación segura con password_hash() y password_verify()
- Migrar 10 contraseñas existentes de texto plano a formato hash
- Agregar protección CSRF en formulario de login
- Implementar rate limiting (5 intentos/minuto) contra fuerza bruta
- Mejorar formulario de edición con campos de contraseña seguros
- Agregar validación de coincidencia y longitud mínima de contraseñas
- Sanitización de inputs y validación de formato de email
- Prevenir exposición de hashes en interfaz de usuario

Cambia vulnerabilidad crítica donde las contraseñas se almacenaban y viajaban en texto plano.
This commit is contained in:
nickpons666
2026-01-09 15:24:26 -06:00
parent cb1a44e380
commit 448a2aa240
8 changed files with 169 additions and 36 deletions
Download Patch File Download Diff File Expand all files Collapse all files

58
ajax/login.php
View File

@@ -6,25 +6,67 @@
require_once '../config.php';
require_once '../libraries.php';
// Obtener y validar variables POST
$email = $_POST['email'] ?? '';
// Validar método de solicitud
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
echo 'fail[#]';
exit;
}
// Validar CSRF token si existe
if (isset($_POST['csrf_token']) && !empty($_SESSION['csrf_token'])) {
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
echo 'fail[#]';
exit;
}
}
// Obtener y sanitizar variables POST
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);
$password = $_POST['password'] ?? '';
// Validar que los campos no estén vacíos
if (empty($email) || empty($password)) {
echo 'fail[#]';
exit;
}
// CAMBIO CRÍTICO: Obtener empresaId dinámicamente del usuario
// en lugar de hardcodearlo como "15"
// Validar formato de email
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
echo 'fail[#]';
exit;
}
// Limitar longitud de los campos para prevenir ataques
if (strlen($email) > 255 || strlen($password) > 255) {
echo 'fail[#]';
exit;
}
// Rate limiting básico (máximo 5 intentos por minuto)
$rateLimitKey = 'login_attempts_' . $_SERVER['REMOTE_ADDR'];
if (!isset($_SESSION[$rateLimitKey])) {
$_SESSION[$rateLimitKey] = ['count' => 0, 'time' => time()];
}
$attempts = $_SESSION[$rateLimitKey];
if ($attempts['count'] >= 5 && (time() - $attempts['time']) < 60) {
echo 'fail[#]';
exit;
}
// Incrementar contador de intentos
$_SESSION[$rateLimitKey]['count']++;
if (time() - $_SESSION[$rateLimitKey]['time'] > 60) {
$_SESSION[$rateLimitKey] = ['count' => 1, 'time' => time()];
}
// Realizar login
$empresa->setEmail($email);
$empresa->setPassword($password);
// El método DoLogin ahora debe obtener el empresaId desde la base de datos
// basado en el email y password del usuario
if(!$empresa->DoLogin())
{
// If DoLogin itself sets errors (e.g., incorrect credentials), print them here
// Si el login es exitoso, resetear contador
if($empresa->Util()->GetError()){
$empresa->Util()->PrintErrors();
}
@@ -32,6 +74,8 @@
}
else
{
// Resetear contador de intentos en login exitoso
unset($_SESSION[$rateLimitKey]);
echo 'ok[#]ok';
}

2
ajax/usuarios.php
View File

@@ -60,6 +60,8 @@ switch($_POST["type"])
case "saveEditUsuario":
$email = trim($_POST['email']);
$usuario->setTipo($_POST['tipo']);
$usuario->setUsuarioId($_POST['usuarioId']);
$usuario->setNombre($_POST['nombre']);

19
classes/empresa.class.php
View File

@@ -391,10 +391,9 @@ $this->Util()->ValidateMail($value, "Email");
}
}
// CAMBIO CRÍTICO: Obtener empresaId dinámicamente del usuario con BD real
$sql = "SELECT usuarioId, empresaId FROM usuario
// CAMBIO DE SEGURIDAD: Obtener usuario por email primero (sin contraseña)
$sql = "SELECT usuarioId, empresaId, password FROM usuario
WHERE email = '".$this->email."'
AND password = '".$this->password."'
AND baja = '0'";
$result = $masterConnection->query($sql);
@@ -410,7 +409,21 @@ $this->Util()->ValidateMail($value, "Email");
{
return false;
}
}
// Verificar contraseña usando método seguro
$usuario = new Usuario();
$usuario->setUsuarioId($row['usuarioId']);
if(!$usuario->verifyPassword($this->password, $row['password']))
{
unset($_SESSION["loginKey"]);
unset($_SESSION["empresaId"]);
$this->Util()->setError(10006, "error");
if($this->Util()->PrintErrors())
{
return false;
}
}
// Obtener datos del usuario de forma segura

54
classes/usuario.class.php
View File

@@ -147,7 +147,40 @@ class Usuario extends Main
public function setPassword($value)
{
// Si la contraseña ya está hasheada (empieza con $2y$), la guardamos directamente
if(preg_match('/^\$2y\$/', $value)) {
$this->passwd = $value;
} else {
// Si no, la hasheamos
$this->passwd = password_hash($value, PASSWORD_DEFAULT);
}
}
// Método para verificar contraseña (usado en login)
public function verifyPassword($plainPassword, $hashedPassword)
{
// Si la contraseña almacenada está en texto plano (migración)
if(!preg_match('/^\$2y\$/', $hashedPassword)) {
// Verificar contra texto plano y hashear si coincide
if($plainPassword === $hashedPassword) {
// Actualizar a hash
$this->passwd = password_hash($plainPassword, PASSWORD_DEFAULT);
$this->updatePasswordHash();
return true;
}
return false;
}
// Verificación normal con hash
return password_verify($plainPassword, $hashedPassword);
}
// Método para actualizar el hash en la base de datos
private function updatePasswordHash()
{
$db = new DB(true);
$db->setQuery("UPDATE usuario SET password = '".$this->passwd."' WHERE usuarioId = '".$this->usuarioId."'");
$db->UpdateData();
}
public function setTipo($value)
@@ -302,8 +335,9 @@ class Usuario extends Main
}
$db = new DB(true);
$db->setQuery("
UPDATE usuario SET
// Construir consulta SQL condicional para la contraseña
$sql = "UPDATE usuario SET
nombre = '".$this->nombre."',
apellidos = '".$this->apellidos."',
calle = '".$this->calle."',
@@ -321,12 +355,18 @@ class Usuario extends Main
noImss = '".$this->noImss."',
curp = '".$this->curp."',
rfc = '".$this->rfc."',
email = '".$this->email."',
password = '".$this->passwd."',
`type` = '".$this->tipo."',
email = '".$this->email."'";
// Solo actualizar contraseña si se estableció una nueva
if (!empty($this->passwd)) {
$sql .= ", password = '".$this->passwd."'";
}
$sql .= ", `type` = '".$this->tipo."',
sucursalId = '".$this->sucursalId."'
WHERE usuarioId = '".$this->usuarioId."'"
);
WHERE usuarioId = '".$this->usuarioId."'";
$db->setQuery($sql);
$db->UpdateData();
$this->Util()->setError(20019, "complete");

16
modules/login.php
View File

@@ -1,9 +1,15 @@
<?php
$db = new DB(true); // Usar master connection
$db->setQuery("SELECT * FROM empresa");
$result = $db->GetResult();
// Generar token CSRF para protección
if (empty($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$smarty->assign("empresas", $result);
$db = new DB(true); // Usar master connection
$db->setQuery("SELECT * FROM empresa");
$result = $db->GetResult();
?>
$smarty->assign("empresas", $result);
$smarty->assign("csrf_token", $_SESSION['csrf_token']);
?>

26
modules/usuarios-editar.php
View File

@@ -35,7 +35,31 @@
$usuario->setCurp($_POST['curp']);
$usuario->setRfc($_POST['rfc']);
$usuario->setEmail($_POST['email']);
$usuario->setPassword($_POST['password']);
// Solo actualizar contraseña si se proporciona una nueva
$newPassword = trim($_POST['password']);
$confirmPassword = trim($_POST['password_confirm']);
if (!empty($newPassword)) {
// Validar que las contraseñas coincidan
if ($newPassword !== $confirmPassword) {
$smarty->assign("error", "Las contraseñas no coinciden");
$smarty->assign("info", $_POST);
$smarty->display('templates/forms/editar-usuario.tpl');
exit;
}
// Validar longitud mínima
if (strlen($newPassword) < 6) {
$smarty->assign("error", "La contraseña debe tener al menos 6 caracteres");
$smarty->assign("info", $_POST);
$smarty->display('templates/forms/editar-usuario.tpl');
exit;
}
$usuario->setPassword($newPassword);
}
$usuario->setSucursalId($_POST['sucursalId']);
$usuario->Update();

11
templates/forms/editar-usuario.tpl
View File

@@ -85,11 +85,14 @@
<td><input name="email" id="email" type="text" class="largeInput" style="width:290px" value="{$info.email}"/></td>
</tr>
<tr>
<td height="40">Contrase&ntilde;a:</td>
<td><input name="password" id="password" type="text" class="largeInput" style="width:290px" value="{$info.password}"/></td>
<td height="40">Nueva Contrase&ntilde;a:</td>
<td>
<input name="password" id="password" type="password" class="largeInput" style="width:290px" placeholder="Dejar en blanco para no cambiar"/>
<br><small>Si no desea cambiar la contraseña, deje este campo vacío.</small>
</td>
<td width="10"></td>
<td></td>
<td></td>
<td>Confirmar:</td>
<td><input name="password_confirm" id="password_confirm" type="password" class="largeInput" style="width:290px" placeholder="Confirmar nueva contraseña"/></td>
</tr>
<tr>
<td colspan="5" align="center" height="50"><b>.:: IDENTIFICACION OFICIAL ::.</b></td>

3
templates/login.tpl
View File

@@ -11,7 +11,8 @@
<div id="login">
<p class="error" id="errorLoginDiv"></p>
<form id="loginForm" name="loginForm" method="post" action="">
<form id="loginForm" name="loginForm" method="post" action="">
<input type="hidden" name="csrf_token" value="{$csrf_token}" />
<p>
<label><strong>Email</strong>
<input type="text" name="email" class="inputText" id="email" value="@novomoda.com.mx" autofocus="autofocus" />