Функции хеширования

12
L
На сайте с 13.10.2010
Offline
27
864

Пишу систему авторизации, озаботился таким вопросом: какой по вашему мнению алгоритм хеширования лучше: md5 или sha1, либо другие?

TF-Studio
На сайте с 17.08.2010
Offline
334
#1

md5 - не рекомендуется.

читайте хабр, там много расписано на эту тему:

http://habrahabr.ru/post/158491/

http://habrahabr.ru/post/100301/

http://habrahabr.ru/post/159043/

и так далее...

Самое главное, если коротко - соль.

Всё ещё лучший способ заработка для белых сайтов: GoGetLinks (https://www.gogetlinks.net/?inv=fahbn8).
B
На сайте с 24.03.2013
Offline
5
#2

Используйте для каждого юзера разную соль.

[umka]
На сайте с 25.05.2008
Offline
456
#3

Да, подобрать пароль к md5-представлению проще, чем к sha1 и пр., НО! для этого нужно получить хэш на руки.

А чтобы получить хэш, нужно взломать сайт.

А если сайт взломан, то какой смысл подбирать пароль к хэшу?

Ради спортивного интереса? :)

Лог в помощь!
Милованов Ю.С
На сайте с 24.01.2008
Offline
196
#4
'[umka:
;11686007']Да, подобрать пароль к md5-представлению проще, чем к sha1 и пр., НО! для этого нужно получить хэш на руки.
А чтобы получить хэш, нужно взломать сайт.
А если сайт взломан, то какой смысл подбирать пароль к хэшу?
Ради спортивного интереса? :)

В большинстве случаев, требования к заливки шелла на популярных КМСках - "права администратора".

Если нашел скулю и узнал хэш пароля админа, то зачем искать способ заливки шелла без авторизации(его может и нет), если можно в радуге подобрать пароль по хэшу из БД. Сервисов достаточно. Цены копеечные.

Может написал и сумбурно, но идею, надеюсь, донес;)

Подпись))
[umka]
На сайте с 25.05.2008
Offline
456
#5
Милованов Ю.С:
Если нашел скулю

Кого? :)

Милованов Ю.С:
и узнал хэш пароля админа

Как?! :)

IL
На сайте с 20.04.2007
Offline
435
#6
[umka:
Кого?

SQL видимо.. - От слова скулить..

[umka:
Как?!
в базе..
Милованов Ю.С:
Может написал и сумбурно, но идею, надеюсь, донес

Донёс-донёс.. :)

... :) Облачные серверы от RegRu - промокод 3F85-3D10-806D-7224 ( http://levik.info/regru )
Милованов Ю.С
На сайте с 24.01.2008
Offline
196
#7
'[umka:
;11686026']Кого? :)



Как?! :)

:)

Скуля - SQL-injection

Как?

1) Идем по этому запросу

2) Ищем скулю(в помощь одинарная ковычка, юнион, ордер/гроуп бай 1/2/3/100500)

3) information_schema(schemata, tables, columns)

4) Дальше продолжать не буду.

В этом запросе, в первой сотне будут сайты, на которых разбирается проблема с "warning'om", а вот остальные сайты есть вероятность раскрутить на скулю.

ЗЫ. около пол-года назад по такому же запросу наблюдал в выдаче урлы типа www.site.ru/param1=value1¶m2='value2

Либо кто-то массово загонял такие страницы в индекс, чтобы было легче искать, либо плагины настолько корявые;)

ЗЗЫ. Как взломать сайт не знаю. Все что написано здесь случайно нашел в гугле:D

TF-Studio
На сайте с 17.08.2010
Offline
334
#8
А если сайт взломан, то какой смысл подбирать пароль к хэшу?

50% юзеров используют одинаковые пароли, подобрав их - мы получим доступ к мылу и соц сетям, дальше уже от фантазии зависит.

В написании собственной "системы авторизации", хеш - не самое главное, там более важно все максимально безопасно написать, ибо дыр можно наделать огромную кучу.

[umka]
На сайте с 25.05.2008
Offline
456
#9

Аааа... ясно :)

Ну так, грубо говоря, если голова не на месте, то и на хэши уповать не стоит.

L
На сайте с 13.10.2010
Offline
27
#10
TF-Studio:

Самое главное, если коротко - соль.
bartsoft:
Используйте для каждого юзера разную соль.

Да, спасибо! про соль это гуд. Можно даже поизвращаться с тройным хешем и двойной солью. 🤣

Еще думал о функции crypt()

'[umka:
;11686188']Аааа... ясно :)
Ну так, грубо говоря, если голова не на месте, то и на хэши уповать не стоит.

По вашей логике пароли вообще шифровать не стоит.

Это ведь защищает не только от внешних вредителей, но и от недобросовестных коллег.

Кстати, полгода назад занимался сайтом администрации довольно большого города и обнаружил что там пароли хранятся так как есть. Т.е пароли чиновников, которые там зареганы, я мог увести без особого труда. Вот так вот.

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий