Hackerangriff?!

sorry.. aber md5 ist weder eine verschüsselung noch 'sicher'

das problem ist das md5('supergeheim') immer das selbe ergebnis liefert, nämlich:
49208289d2bf71314a2dcbe5b73960cb

Jetzt brauch ich nur noch ein programm das alle möglichen buchstabenkombinationen durchgeht und so lange sucht bis "49208289d2bf71314a2dcbe5b73960cb" rauskommt und schon weiss ich das passwort.

ein tool zu schreiben das aus einem hash ein passwort rausfindet dauert 5 minuten. je nach länge des passworts und rechenkapazität dauert es allerdings ne weile bis ein ergebnis auskommt. Mit einem System wie bei distributed.net gehts ratz fatz

vb3 verwendet für die passwortsicherheit ein sehr viel besseres system das zwar auch auf md5 aufbaut aber dieses ausprobieren verhindert.

bei einer richtigen verschlüsselung kommt bei jedem aufruf ein anderes ergebnis raus .. so ist

encrypt("supergeheim") = DiWcL1HqVAe8Y
aber auch : 2m2N0/bTa/6pc oder 3mX649d65nov6

Gruss
Bastian

Zitat

Original geschrieben von dafire
encrypt("supergeheim") = DiWcL1HqVAe8Y
aber auch : 2m2N0/bTa/6pc oder 3mX649d65nov6

o.k., o.k.! Nur wie willst du dich damit jemals wieder in das Forum einloggen können?

if (strncmp (md5("Eingegebenes PW"), "Gespeichertes PW") == 0)
{
gewähre eintritt;
}
else
{
verweigere eintritt;
}

Zitat

Original geschrieben von xGalaxius
o.k., o.k.! Nur wie willst du dich damit jemals wieder in das Forum einloggen können?

if (strncmp (md5("Eingegebenes PW"), "Gespeichertes PW") == 0)
{
gewähre eintritt;
}
else
{
verweigere eintritt;
}

Alles anzeigen

ist zwar bischen offtopic aber geht ganz einfach indem man das gespeicherte passwort bei encrypt noch mal mit angibt (encrypt ist ne mysql funktion und somit eigentlich bei allen foren möglich)
(alte) unix passwörter funzen ähnlich: http://www.zotteljedi.de/doc/crypt.html

passwörter die mit encrypt verschlüsselt werden kann man natürlich auch durch probieren rausbekommen, nur ist da der vorteil das man jedes passwort einzeln probieren muss.. bei md5 kann man sich einfach ein wörterbuch anlegen und wenns gross genug ist die passwörter einfach ablesen

vb3 funktioniert ähnlich wie crypt mit einem salt .. simulieren das nur über die md5 funktion.

encrypt hat auch den nachteil das die passwörter in der länge begrenzt sind, dafür gibts md5_encrypt das zum beispiel von htpasswd beim apache verwendet wird und auch bei modernen linux systemen für die system anmeldung

hmmm. Also das mit dem Brute Force Proggi is echt kein Problem.
Hab selber keins Programmiert, weil ich auch keinen Sinn darin sehe irgendwelche Passwörter zu knacken.
Aber es gibt da noch einige Sicherheitslücken in den Programmen.
Auch gibts webhoster bei denen man wohl angeblich die komplette passwortdatei downloaden kann wenn man es richtig macht. Ich weiß zwar nicht wie es funktioniert, soll allerdings nicht allzu schwer sein.
BTW. : kann hier wer hacken?
Hat jemand Lust mal zu versuchen einen php script von mir zu hacken?

Bye Ls4

So, nachdem wir jetzt alle wissen, warum ich die Frage gerne beantwortet hätte, wäre es nett, wenn mal jemand der Admins die Frage beantworten würde. :top:

Zitat

Original geschrieben von senderlisteffm
So, nachdem wir jetzt alle wissen, warum ich die Frage gerne beantwortet hätte, wäre es nett, wenn mal jemand der Admins die Frage beantworten würde. :top:

Hat Carsten doch schon gemacht: Klick

Zitat

Original geschrieben von Ls4

Auch gibts webhoster bei denen man wohl angeblich die komplette passwortdatei downloaden kann wenn man es richtig macht.

Dafür brauch man nur google

-SF³

Zitat

Original geschrieben von xGalaxius
Hat Carsten doch schon gemacht: Klick

Das habe ich selbst gelesen! Und weil dort genau nichts dazu steht, habe ich nachgefragt.

"es hätte durchaus schlimmer kommen können", "die Angreifer haben sich noch recht "freundlich" verhalten" und "bis wirklich alles wieder in trockenen Tüchern war" reicht mir in diesem Zusammenhang nicht ganz.

Zitat

Original geschrieben von senderlisteffm
Das habe ich selbst gelesen! Und weil dort genau nichts dazu steht, habe ich nachgefragt.

"es hätte durchaus schlimmer kommen können", "die Angreifer haben sich noch recht "freundlich" verhalten" und "bis wirklich alles wieder in trockenen Tüchern war" reicht mir in diesem Zusammenhang nicht ganz.

Was mich ja noch interessieren würde:
Wenn "nur " die Index-Datei ausgetauscht wurde, war dann das Telefon-Treff Forum als solches noch nutzbar?

weiß nicht genau wie vb funktioniert, wenn ids gesendet werden und danach der modus vom index festgestellt wird musst du schon die links zu den einzelnen threads kennen um es nutzen zu können.

Bye Ls4