[PHP][inne]Hasło admina i mały zonk :) Opcje

[mefistofeles]

Na jednej ze stronek mam konto admina.
Hasło jest kodowane w MD5 przy pomocy prefixu (klucza).
Jeśli znam prefix i kod w MD5 to jak odkodować hasło ?

Ten post edytował mefistofeles 7.01.2010, 22:26:59

[thek]

Właśnie dlatego stosuje się prefix i/lub suffix zwane zwyczajowo solami. Mają one za zadanie utrudniać korzystanie z tęczowych tablic. Bo co to jest "tęczowa tablica"? Ujmując to najprościej -> To zwyczajny zbiór hashy z określonej grupy wyrazów. Im więcej ich tym większa szansa na "złamanie". Ale w najprostszej postaci można to skrócić do: "znajdź mój hash to powiem Ci jakim hasłem jestem", bo md5 jest algorytmem jednostronnym, czyli stratnym i po użyciu go tracisz w zasadzie informację o szyfrowanym ciągu znaków. Doklejając odpowiednią sól tworzysz ciąg niespotykany w słownikach, trudny do rozgryzienia i zapewne nie występujący "normalnie". Znając sól możesz ewentualnie doklejać ją do wyrazów jakie wpadną Ci do głowy i sobie sam wygenerować "tęczową tablicę" dla tej soli. A wystarczy, że admin stworzy skrypt, który automatycznie co jakiś czas sam sobie będzie generował sól ( a co... jak szaleć to szaleć ) i "d.pa zbita" Wymaga to pewnej pomysłowości, ale nie jest niemożliwe stworzenie takiej klasy logowania Trzeba mieć tylko dobry pomysł na to i w moim pomyśle zakłada pewną nadmiarową ilość danych, tyle, że wtedy każdy user ma zupełnie inną sól niż inny user tego samego serwisu i na dodatek zmienia się ona co jakiś czas. Dla typowego chacx0ra jest więc niemożliwe dostać się na dwa konta bez realnej znajomości hasła, gdyż nawet jeśli odgadnie jakiej soli użyłem dla jednego i wygeneruje sobie "tęczę" na tej podstawie to polegnie na innym userze który ma ją zupełnie inną i hashe są już nie do niej. Musiałby się dobrać do bazy danych i tabeli, gdzie przechowywałbym sole dla każdego użytkownika i znać dodatkowo algorytm działania generowania hasha ostatecznego. Tego script-kiddie nie potrafią zrobić.

EDIT: Skoro jesteś adminem to chyba masz dostęp do bazy danych. Racja? To czemu nie zrobisz czegoś odwrotnego? Ja tak zrobiłem gdy zapomniałem hasła głównego admina w swoim serwisie. (admini mają dwa hasła, jedno do logowania i dodatkowe gdy chcą potwierdzać co poważniejsze operacje, i tego drugiego zapomniałem). Wymyśl sobie hasło i potraktuj algorytmem hashującym. Tak wygenerowany wklej na pałę do bazy danych w pole przechowujące hash. Teraz się logujesz Metoda chamska i można powiedzieć, że to gwałt webmasterski, ale ważne, że skuteczna

Ten post edytował thek 7.01.2010, 23:59:38