C# How to secure a login request from program?

PHP Code


<?php
// This is really bad psuedocode

// Retrieve all of the values via $_POST["key"];
$gun = $_POST["gun"]; // given username
$gup = $_POST["gup"]; // given password
$gnc = $_POST["gnc"]; // given name of computer
$shu = $_POST["shu"]; // secret HWID of user
$hdt = $_POST["hdt"]; // hash of server date and time
$eky = $_POST["eky"]; // encrypted key
$eiv = $_POST["eiv"]; // encrypted IV

// Decrypt and escape all values after decrypting key and IV
$key = base64_decode($eky);
$iv = base64_decode($eiv);

// Check to see if date / time sent is correct
$inputHash = mysqli_real_escape_string($link, decrypt($hdt, $key, $iv));
$hashDateTime = getHashOfDateTime();
if ($inputHash != $hashDateTime) {
    echo "NOT ALLOWED: CONNECTION REJECTED";
    exit();
}

$inputUser = mysqli_real_escape_string($link, decrypt($gun, $key, $iv));
// This password, after decrypting and escaping, is the plaintext.
$inputPass = mysqli_real_escape_string($link, decrypt($gup, $key, $iv));
$inputComp = mysqli_real_escape_string($link, decrypt($gnc, $key, $iv));
$inputHWID = mysqli_real_escape_string($link, decrypt($shu, $key, $iv));

if (!userExistsInDB($inputUser)) {
    // User does not exist in database, check to see if HWID exists
    if (HWIDExistsInDB($inputHWID)) {
        // HWID exists in database
        echo "NOT ALLOWED: HWID DUPLICATE";
        exit();
    }
    else {
        // HWID does not exist in database
        // We can create the user and insert into database
        $salt = generateSalt();
        $passEntry = hash("sha512", combineSaltPassword($salt, $inputPass));
        $result = mysqli_query($link, "INSERT INTO `db`(`username`, `password`, `salt`, `cName`, `HWID`, `allowed`) VALUES ('$inputUser', '$passEntry', '$salt', '$inputComp', '$inputHWID', 0)");
        if ($result) {
            // User inserted successfully
            echo "NOT ALLOWED: NEW USER";
            exit();
        }
        else {
            // User not inserted
            echo "NOT ALLOWED: INSERTION ERROR";
            exit();
        }
    }
}
else {
    // Username sent in exists; check the credentials
    $credCheck = mysqli_fetch_array(mysqli_query($link, "SELECT * FROM `db` WHERE `username`='$inputUser'"), MYSQLI_ASSOC);
    $salt = $credCheck['salt'];
    // Check if password is correct
    if (hash("sha512", combineSaltPassword($salt, $inputPass)) != $credCheck['password']) {
        // Password is not correct
        echo "NOT ALLOWED: PASSWORD MISMATCH";
        exit();
    }
    // Check if HWID matches one HWID sent in
    if ($inputHWID != $credCheck['HWID']) {
        // HWID is not the same
        echo "NOT ALLOWED: HWID MISMATCH";
        exit();
    }
    // Check if user is allowed
    if ($credCheck['allowed'] != 1) {
        // User is not allowed, value is 0
        echo "NOT ALLWED: NOT APPROVED";
        exit();
    }
    // User is allowed
    echo "ALLOWED: WELCOME";
    exit();
}