Passwort auslesen und vergleichen

Fragen zu allen Themen rund ums Programmieren außerhalb von phpBB können hier gestellt werden - auch zu anderen Programmiersprachen oder Software wie Webservern und Editoren.
Antworten
Benutzeravatar
Anuschka
Mitglied
Beiträge: 11
Registriert: 10.07.2004 00:33

Passwort auslesen und vergleichen

Beitrag von Anuschka »

Hallo,

ich möchte gerne mit Hilfe eines php-Skriptes den usernamen und das passwort von meinem clanmitgliedern aus meinem board auslesen, das vergleichen. Mein Problem besteht darin, dass das Passwort in der Datenbank verschlüsselt ist. Ich habe bereits im Netzt gestöbert und auch herausgefunden dass ich es decodieren kann, nur leider weiss ich nicht wie.
Ich habe auch bereits folgendes probiert:

Code: Alles auswählen

<?php
$con = mysql_pconnect("localhost","","");
 mysql_select_db("f4", $con);
  $sql = "SELECT * FROM phpbb_users WHERE username LIKE '%$username%'";
 $result = mysql_query($sql, $con);
 
 while ($row = mysql_fetch_object($result))
 {
 
if( md5($password) == $row['user_password'] && $row['user_active'] )
{
echo "es hat geklappt";
}

else 
{
echo "schade";
}
}
?>
habe in der login.php mal ein bissel gestöbert, aber das funktioniert leider auch nicht.

Kann mir jemand von euch weiterhelfen, auch wenn es eventuell etwas banal klingt?

LG anuschka
PhilippK
Vorstand
Vorstand
Beiträge: 14662
Registriert: 13.08.2002 14:10
Wohnort: Stuttgart
Kontaktdaten:

Beitrag von PhilippK »

Die Passwörter lassen sich nicht entschlüsseln - nur mit Brute Force knacken...
Siehe KB:md5

Gruß, Philipp
Kein Support per PN!
Der Sozialstaat ist [...] eine zivilisatorische Errungenschaft, auf die wir stolz sein können. Aber der Sozialstaat heutiger Prägung hat sich übernommen. Das ist bitter, aber wahr. (Horst Köhler)
Meine Mods
Benutzeravatar
Anuschka
Mitglied
Beiträge: 11
Registriert: 10.07.2004 00:33

Beitrag von Anuschka »

jo thx, werd mir das gleich mal anschauen, wenn ich nicht weiterkommen sollte, meld ich mich nochmal

thx

anuschka
sierra
Mitglied
Beiträge: 68
Registriert: 02.12.2003 00:50
Wohnort: Garbsen

Beitrag von sierra »

<?php
$con = mysql_pconnect("localhost","","");
ich würde hier keine persistente verbndung aufbauen


pconnect = Verbindung zum DB Server schliest erst nach zeit x glaube 30 min. waren das..

connect = schliest verbindung sofort nach scriptende
Coby
Mitglied
Beiträge: 4
Registriert: 30.07.2004 18:40

Beitrag von Coby »

wo bekomm ich den das Programm Brute Force her?
fagus
Mitglied
Beiträge: 71
Registriert: 30.03.2004 16:55

Beitrag von fagus »

hallo,

@coby
das ist kein programm sondern bedeutet, dass man jede beliebige kombination ausprobiert, bis zufällig die kombination und das passwort übereinstimmen.
dabei kann man aber lange ausprobieren und ist sicher nicht geeignet für ein forum oder chat.
im phpbb wird das vermutlich mit der phpfunktion md5() gelöst.
der user gibt sein passwort ein dann wird es nach md5 verschlüsselt und mit dem gespeicherten verschlüsselten passwort verglichen. stimmen beide überein, dann wird der user eingeloggt.
ich denke dieser lösungsansatz könnte auch dir weiterhelfen.
Benutzeravatar
Blutgerinsel
Mitglied
Beiträge: 1801
Registriert: 19.07.2004 18:53
Wohnort: Landkreis Ulm
Kontaktdaten:

Beitrag von Blutgerinsel »

fagus hat geschrieben:hallo,

@coby
das ist kein programm sondern bedeutet, dass man jede beliebige kombination ausprobiert, bis zufällig die kombination und das passwort übereinstimmen.
dabei kann man aber lange ausprobieren und ist sicher nicht geeignet für ein forum oder chat.
im phpbb wird das vermutlich mit der phpfunktion md5() gelöst.
der user gibt sein passwort ein dann wird es nach md5 verschlüsselt und mit dem gespeicherten verschlüsselten passwort verglichen. stimmen beide überein, dann wird der user eingeloggt.
ich denke dieser lösungsansatz könnte auch dir weiterhelfen.
Vorteil dabei ist der Admin als auch Leute die in die DB blicken kennen das PW nicht wozu auch?

Sofern der User das PW vergessen hat wird ein neues zugestellt da man das alte nicht sagen kann.....Einwege Hashwert

Deutlich besser ist SHA was im kommenden PHPBB zum Einsatz kommt......
Es wäre auch möglich sofern die Mcrypt Bibliothek zur Verfügung steht ala PGP einen Key zum Verschlüsseln des PW zu verwenden damit könnte das PW im Klartext übermittelt werden....Finde ich aber unnötig bis gar Sicherheitskritisch
Antworten

Zurück zu „Coding & Technik“