Hasło

[traktor]

Witam wszystkich!

 

Chcialbym sie dowiedziec jak zalozyc haslo na strone internetowa? Nie musi byc to jakies skomplikowane nie do zlamania. Zalezy mi na tym zeby nie bylo to ciezkie w "instalacji" i zeby bylo dosc skuteczne. Z gory dziekuje!

[PelzaK]

zalezy czy ta strona działa w oparciu o html czy php. Jeśli php to umieszczasz któryś z rodzajów validacji użyszkodnika... Jeśli masz tlyko html to pozostaje Ci napisanie jakiejś dosyć dziwnie wyglądającej dla nieobeznanych funkcji w javascripcie...

[traktor]

tylko w html :P

[Prog]

To raczej kiepsko z zabezpieczeniami. Ale można coś dobrego w javiescript'cie napisać.

[durczyn]

w html to największa prostota, moge ci gotowe polecenia podesłac, lecz baaardzo ąłtwo to złamać jak ktoś sięorientuje w html

[Prog]

Czyli skuteczność odpada [przy HTML'u]. Ja bym proponował jednak JS.

[PelzaK]

jak ktoś sie zna na JS to złamie tak samo prosto :D

[m4r]

w html to największa prostota, moge ci gotowe polecenia podesłac, lecz baaardzo ąłtwo to złamać jak ktoś sięorientuje w html

Orientuj się ;)

 

Pisałem to dzisiaj na szybko, więc mogłem coś przeoczyć.

 

skrypt hasciach!ący do md5 jest pod tym samym adresem, nazywa się md5.js i jest ogólnodostępny w Internecie.

 

Jak złamiecie, wklejcie tu tylko tekst który przeczytacie po "zalogowaniu się".

Możecie brutować, hasła są krótkie ;)

[PelzaK]

hehe.. nie wiedziałem że ktoś w ogóle zaadaptował md5 w takiej roli :). jeśli tak to nie brutujcie bo to nic nie da :D

[Prog]

Trochę roboty i przez brutal powinno pójść.

Wracając do głównego wątku to rozwiązanie MareCeK'a powinno najbardziej pasować autorowi tematu moim zdaniem.

Edytowane 14 Maja 2006 przez Prog

[SGJ]

hehe.. nie wiedziałem że ktoś w ogóle zaadaptował md5 w takiej roli :). jeśli tak to nie brutujcie bo to nic nie da :D

Od razu trzeba by próbowc trafic w plik, a wiadomo ile ma liter w nazwie, wiec pozostaje tylko wykorzystac wszystkie kombinacje, co trochę czasu zajmie...

[m4r]

Od razu trzeba by próbowc trafic w plik, a wiadomo ile ma liter w nazwie, wiec pozostaje tylko wykorzystac wszystkie kombinacje, co trochę czasu zajmie...

Dlatego zrobiłem tylko pięcioliterową nazwę.

Myślałem o tym, czy by nie zrobić nazwy pliku jako kolejnego md5... to by była masakra pewnie.

 

Tyle że ta metoda ma jedną wadę- jak się już raz pozna nazwę pliku do którego skrypt przekierowuje, to można go wcale nie wywoływać :/

 

 

P.S. Co byście powiedzieli na sha1 w roli algorytmu do hasha? Też można ;)

[PelzaK]

Od razu trzeba by próbowc trafic w plik, a wiadomo ile ma liter w nazwie, wiec pozostaje tylko wykorzystac wszystkie kombinacje, co trochę czasu zajmie...

racja... widzisz dlatego utknąłem na 9 levelu w hacking site kompetyszon vol 2 :D zapomniałem o rzeczach oczywistych :)

[Prog]

W HackMe 3 też trzeba było się rozprawić z MD5, ale jakoś poszło. Każdy skrypt musi mieć słabszy punkt.

[Nargil]

a co z plikiem htacces ? Mozesz utworzyc haslo na katalog w ktorym umieszczasz strone

[Prog]

Tylko, że nie wszystkie serwery obsłużą Ci .htaccess, a czasem nie masz do nich dostępu. Autoryzacja przez HTTP może być, ale to raczej w przypadku jakichś plików, a nie strony, choć i do tej roli można to zaadaptować.

[ULLISSES]

MD5 to żadna przeszkoda, jeśli hasłem jest np "kasia". Istnieje stronka (adresik mi się zapodział, ale można przez google znaleźć), która opierając się na dość dużej bazie danych (ciągle powiększanej) zamienia hash MD5 na hasło.

 

Dlatego podstawą dobrego zabezpieczenia nie jest metoda szyfrowania czy autoryzacji, ale także silne hasło - długość i użyte znaki. Np "m0j4_K45!4" (czyli "moja_Kasia") to już dużo lepsze zabezpieczenie, a jednocześnie dość proste do zapamiętania :]

 

Wracając do tematu, to jeśli serwer obsługuje PHP, to własnie PHP + MD5 + .htaccess będzie wystarczający. Jeśli nie jest to nic specjalnie ważnego lub serwer nie obsługuje PHP, to MD5 + JS także starczy, przy odpowiednim haśle.

 

Edit:

Jeśli chodzi o dostęp do .htaccess, to (o ile mi wiadomo) może on istnieć dla każdego katalogu/podkatalogu osobno i jest on wtedy uwzględniany.

Edytowane 7 Czerwca 2006 przez ULLISSES

[Prog]

Tak .htaccess jest ważny dla danego katalogu i jego podkatalogów.