Php-mysql oldal hackelés

Rendben,most már értem,thx mindenkinek

" "

én nem értek hozzá , majd valaki más...

csak arra akartam felhívni a figyelmed, hogy minden általad közölt kóddal/adattal gyengíted a védelmed, bár egy nem általad felügyelt rendszeren nem biztos, hogy rajtad múlna az adatlopás sikere, feltéve, ha valaki venné a fáradságot...

szerintem ilyen környezetben felesleges "túlspilázni", elsősorban azért, mert esetleg hamis illúzióid alakulhatnak ki a védelmedet illetően, legalábbis én így gondolom, de leírom még egyszer: én nem értek hozzá,

Nyilván amit adtam linket meg sem nézted, vagy lusta voltál végigolvasni... Ott kifejtik miért nem érdemes dupla hashelést használni.

Azt értsd már meg, hogy a brute force támadást nem a weboldalad input mezőjével fogják csinálni, hanem az adatbázisból megszerzett jelszóhash-eket fogják offline visszafejteni.

Most épp azon gondolkozom,hogy a fórumnál,hogyan lehet BBkódokat berakni,ugyanis van egy függvényem ami működik,de ha htmlspecialcharst is lefutattok(már pedig kell),akkor kiöli őket és nem fut le.Lehet inkább csak sima smileyeket rakok be preg_replace()-el nem tudom még...

Szerintetek?

Most nem azért,de mekkora esélye van,hogy talál egy másik olyan "jelszót" aminek a hashje megegyezik az eredetivel?
brute forceval nem mennek sokra,mert 5 rossz próbálkozás után zárolódik a felhasználó.Ha pedig az adatbázishoz fér valaki,akkor meg nem elég az sha1-et visszafejteni ott lesz még az md5 is.

Vagy rosszul tudom az egészet?

Idézet erről az oldalról:

Szerintem van értelme,ha megtudsz róla győzni,hogy nem akkor elhiszem:)
1.Nem elég az sha1-et visszafejteni,még az md5öt is kell.
2.Ha hozzáfűzünk adatokat a dupla hashez,akkor nehezebb lesz leszedni róla.

A dupla hashelésnek az ég világon semmi-semmi-SEMMI értelme.
Legfeljebb arra alkalmas, hogy mutassa, a fejlesztő nem érti a hash lényegét.

Nem mindegy, hogy bruteforce módszerrel melyiket kell megfejteni:

jelszo04
vagy
DGs8Hg9SF1sfs98h_jelszo04_201110151603

Tessék itt van egy példa hash,ha tudjátok kódoljátok vissza:)
(ez alapján:sha1(md5($salt.$pass.$salt2)))

Nem,rosszul fogalmaztam:)
Szerintetek ez így elég biztonságos?

" "

mármint nekünk, hogy ez alapján - bár azt írod, hogy az első "sód" random generált - könnyen "megtaláljuk" más felhasználók jelszavát?

jogos, köszönöm az észrevételt,

A globális só se igazán tökéletes megoldás, mert így még ha két felhasználónak ugyanaz a jelszava, az látszódik. Érdemes a felhasználónként külön sót generálni, ha más nem, e-mail cím + jelszó összefűzve. Utána pedig nem md5-öt használni, hanem sha-2-t.

Üzeneteket megoldottam és a bejelentkezést is átalakítottam.

Szerintetek ez így elég jó?
$salt az egy randomon generált string.
$salt2 meg a felhasználód sha1.

" "

lehet, hogy én gondolom/tudom rosszul, de a globális sózásnak az az értelme, hogy hiába találsz egy olyan karaktersorozatot, amelynek a hash-e az lesz, ami a birtokodba jutott, én nem "abból" számolom a hash-t, hanem "megsózom" előtte, azaz hozzáírok még valamit, amit feltételezem te nem ismersz (hiszen a tárolt hash-ekhez fértél csak hozzá, nem a programkódhoz) és ez alapján nem lesz egyezés, (normális esetben, csak a "jelszót" nézve az md5 persze azt adná rá, de így nem, hiszen nem csupán a "jelszó" hash-ét vettem/tároltam, hanem például a "jelszó hozzáfűzve globálisSó"-t hash-eltem/tároltam valójában),

persze csinálhatod azt, hogy futsz még egy kört: tegyük fel, hogy te is tudsz "regisztrálni", azaz észreveheted, hogy az általad megadott jelszóra nem annak sima md5 hash-e kerül letárolásra, stb., és ez alapján próbálod a globális sót kitalálni (feltételezve, hogy csak globális sózás történt),

Na, hát nagyon alap dolgokat kipróbáltam (login-nál az sql injection-t, meg néhány helyen az XSS-t), viszont néhol már túlzásba is van víve az escape-elés. Írtam magamnak egy üzenetet, és ezt kaptam:

<script>alert(\'teszt\')</script>

Az ultrawebes ingyen tárhelyen sajnos nem mindig működik az aktivációs link,ilyenkor rá kell nyomni,majd beírni a / jel után:
index.php?=

Azért aktiválom most helyetted: )

az mennyire segít az md5-ön (vagy más kódláson), hogyha az pswd mellé még extra adatokat is fűz az ember, és úgy kerül eltárolásra?

Hát én ugyan regisztráltam, aktiváltam, de nem enged be. Most már főleg, mert 5x próbáltam a dolgot. (A felhasználói név: gopher)

Betörnek az adatbázisodba... letöltik a jelszófájlt, és otthon kb. 2 óra alatt az összes felhasználód jelszavát visszafejtik..

kicsit biztonságosabbá kéne tenni a dolgot.

Félreérted a dolgot. Itt arról van szó, ha valaki hozzáfér az adatbázishoz, akkor vissza tudja fejteni az md5-el hashelt jelszavak nagy részét. Mivel sokan ugyanazt a jelszót használják pl. email fiókhoz és általában email cím is el szokott lenni tárolva, máris hozzáférést nyernek a felhasználó postafiókjához. Tehát a jelszavak kódolatlan vagy simán (salt nélkül) hashelt tárolása biztonsági szempontból aggályos.

Ezt is olvasd végig!

Nem brute forcelhota,mert 5 rossz próbálkozás után zárolódi ka felhasználó,aztán e-mailben kapsz egy linket,amivel feltudod oldani.

Alapból ez egy normális téma lett volna és azért járt volna pont.
Csak árnyék áthelyezte,ezért már nem lehet.

:bullshit:

Az emberek 90%-a olyan jelszót használ, ami könnyen kitalálható akár próbálkozással is.
Az md5 pedig a mai számítási kapacitások mellett akár bruteforce-olható is, belátható időn belül megtöri az alfanumerikus jelszavakat. Azt meg megnézném, hogy ki használ łŁ$ߣ+%+/% jellegű jelszót az oldaladon...

A pontot meg nem adod senkinek a társalgóban. Szerintem.

Ha jól tudom nem lehet megfejteni...Csak néhány helyre összegyűjtenek több millió lehetőséget,aztán ha már van olyan md5ölt kód,és beírod a keresőbe,akkor kidobja.
Csak ugye bonyolult jelszavakat nem valószínű,hogy lementenek.

Ha nincs megsózva, akkor ezt csak hiszed!

md5el van lekódolva nem nagyon fogják visszafejteni...

Én nagyon "élveztem", hogy az elgépelt e-mail címem miatt kiürített űrlapról indulhattam újra.

Hmmm ... eleve nem szimpatikus, hogy a regisztrációs levél visszaküldi a jelszómat. Remélem nincs egy az egybe eltárolva az adatbázisba (attól tartok igen)?