18.08.2025, 23:24
Changer la langue
S’inscrire
Connexion
Vous n’êtes pas connecté.
- 1
- 2
Martin666
God
PHP: *update* sha1() und Bugs
jeudi 2 novembre 2006, 11:10
Moinmoin!
ich versuche grade ohne PHP-Kenntnisse (!) sowas wie eine .htaccess-Passworterstellung wie hierin eine Homepage zu integrieren.
Dazu hab ich in den weiten des Netzes nix gar zu passendes gefunden. mit ein bissi Aufwand könnt ich mir das auch noch selber zusammenpuzzeln. Da ist aber immer noch die Frage, wie genau das Passwort verschlüsselt wird:
wobei salt eine zusätzliche verpuzzelung darstellt.
hab das in irgendeinem script gesehn, dass str = User und salt = Passwort war. woanders war str das passwort und es gab keine salt angabe. Was is denn nu richtig? Sicherer könnte ich mir ersteres vorstellen.
Oder erbarmt sich jemand und schreibt mir das mit den Eingabefeldern und so schnell hin? *blingbling-liebguck*
ich versuche grade ohne PHP-Kenntnisse (!) sowas wie eine .htaccess-Passworterstellung wie hierin eine Homepage zu integrieren.
Dazu hab ich in den weiten des Netzes nix gar zu passendes gefunden. mit ein bissi Aufwand könnt ich mir das auch noch selber zusammenpuzzeln. Da ist aber immer noch die Frage, wie genau das Passwort verschlüsselt wird:
|
Code source |
1 |
string crypt(string str [, string salt]) |
wobei salt eine zusätzliche verpuzzelung darstellt.
hab das in irgendeinem script gesehn, dass str = User und salt = Passwort war. woanders war str das passwort und es gab keine salt angabe. Was is denn nu richtig? Sicherer könnte ich mir ersteres vorstellen.
Oder erbarmt sich jemand und schreibt mir das mit den Eingabefeldern und so schnell hin? *blingbling-liebguck*
hurra
God
Re: PHP: crypt() für .htaccess
jeudi 2 novembre 2006, 12:54
Citation de "Wudel"
meinst das "AuthType Basic", was in der .htaccess steht?
Ansonsten steht da ein AuthName, wo die .htpasswd-datei zu finden ist und noch Require Valid-User.
und ja sorry, natürlich meinte ich die .htpasswd für die passwörter
Nein,
das hier:
htpasswd encrypts passwords using either a version of MD5
modified for Apache, or the system's crypt() routine. Files
managed by htpasswd may contain both types of passwords;
some user records may have MD5-encrypted passwords while
others in the same file may have passwords encrypted with
crypt().
Martin666
God
Re: PHP: crypt() für .htaccess
jeudi 2 novembre 2006, 14:16
hab nur nen tollen erklärenden Link gefunden:
http://forum.de.selfhtml.org/archiv/2005/5/t108606/
ts ts, schämt euch
http://forum.de.selfhtml.org/archiv/2005/5/t108606/
ts ts, schämt euch
Martin666
God
Re: PHP: crypt() für .htaccess
vendredi 3 novembre 2006, 15:27
So Freunde der seichten Unterhaltung, habe heut nu mal bissi gebastelt...
Das Formular dazu hab ich hier. Wer über meine HP lacht wird erschossen
nur leider tut das script nicht das was es soll. erstens zeigt es den usernamen nicht an, und zweitens scheint er hier bei mir auch das ausgegebene und verschlüsselte passwort nicht zu ändern, dachte das beginnt immer mit den ersten beiden buchstaben des eingebenen passworts.
Wo hab ich den Fehler gemacht?
|
|
Code source |
1 2 3 4 5 6 |
<?php
$krypto = sha1($pass);
//$name = $user;
echo "Die in die .htpasswd-Datei einzufügende Zeile lautet:<br>";
echo "$user:$krypto<br>";
?>
|
Das Formular dazu hab ich hier. Wer über meine HP lacht wird erschossen
nur leider tut das script nicht das was es soll. erstens zeigt es den usernamen nicht an, und zweitens scheint er hier bei mir auch das ausgegebene und verschlüsselte passwort nicht zu ändern, dachte das beginnt immer mit den ersten beiden buchstaben des eingebenen passworts.
Wo hab ich den Fehler gemacht?
Y0Gi
God
Re: PHP: *update* sha1() und Bugs
vendredi 3 novembre 2006, 16:04
- Ändere das Übertragungsverfahren des Formulars von 'get' auf 'post', damit die Passwörter nicht in Access-Logfiles auftauchen.
- Greife auf die Variablen über das entsprechende Supergobals-Array zu, also nun $_POST. Ergo:
- Greife auf die Variablen über das entsprechende Supergobals-Array zu, also nun $_POST. Ergo:
|
|
Code source |
1 2 |
$user = $_POST['user']; $krypto = sha1($_POST['pass']); |
Clark
God
Re: PHP: *update* sha1() und Bugs
vendredi 3 novembre 2006, 17:56
Also, ich würde an deiner Stelle kein sha1 verwenden, dass hat ja noch nichtmal nen Salt.
Nimm crypt: (von php.net)
Das oben ist zum initialen erzeugen des passwortes, das so erzeugte passwort wird in der Datei/Datenbank abgespeichert.
Der dabei erzeugte SALT sorgt dafür, dass auch wenn Zwei Personen das gleiche Passwort haben dies nicht für jeden direkt erkennbar ist (Die Berechnung kompliziert sich).
Es ist somit auch nicht möglich millionen von Passwrötern vorzuberechnen und die dann nurnoch zu vergleichen. (was zwar viele Daten erzeugt aber sehr schnell dann zu knacken ist).
Vergleichen tust du das dann indem du crypt($benutzer_eingabe, $passwort) == $passwort das benutzt. Der SALT wird hierbei aus dem $passwort (aus der db/Datei) geholt und somit sollte der gleiche Schlüssel erzeugt werden. Wird er es nicht war das Passwort falsch.
Nimm crypt: (von php.net)
|
|
Code source |
1 2 3 4 |
$passwort = crypt('mein_Pwd'); // let the salt be automatically generated
if (crypt($benutzer_eingabe, $passwort) == $passwort) {
echo "Passwort stimmt überein!";
}
|
Das oben ist zum initialen erzeugen des passwortes, das so erzeugte passwort wird in der Datei/Datenbank abgespeichert.
Der dabei erzeugte SALT sorgt dafür, dass auch wenn Zwei Personen das gleiche Passwort haben dies nicht für jeden direkt erkennbar ist (Die Berechnung kompliziert sich).
Es ist somit auch nicht möglich millionen von Passwrötern vorzuberechnen und die dann nurnoch zu vergleichen. (was zwar viele Daten erzeugt aber sehr schnell dann zu knacken ist).
Vergleichen tust du das dann indem du crypt($benutzer_eingabe, $passwort) == $passwort das benutzt. Der SALT wird hierbei aus dem $passwort (aus der db/Datei) geholt und somit sollte der gleiche Schlüssel erzeugt werden. Wird er es nicht war das Passwort falsch.
- 1
- 2