суббота, 27 августа 2005
12:39

все записи пользователя в сообществе ArLe
Вопрос: как из cookie (допустим, форума) выцарапать свой пароль?


URL
Комментарии
27.08.2005 в 16:05

Kildor
Homo virtualis группа [γ]
это зависит от куки.

может быть в прямом виде лежать пароль — тогда просто берёшь и читаешь

Может быть — в виде md5 хеша — тогда в пользовательских условиях сделать что-либо практически невозможно.

А может вообще не быть пароля, а просто, хеш-идентификатор сессии…
URL
27.08.2005 в 17:55

ArLe
понятно )) спасибо :friend:
URL
28.08.2005 в 01:27

techsupport
решаем проблемы с головой!
Например на diary.ru в кукис хранится имя пользователя и хэш пароля. Хэширование - ассиметричный алгоритм, т.е. преобразовать пароль в хэш математически возможно, а хэш в пароль - нельзя. Задача обратного преобразования обычно решается методом подбора.
URL
28.08.2005 в 07:19

ArLe
techsupport, то есть, свистнув куки пользователя дневников, пароль его узнать невозможно?
URL
28.08.2005 в 09:35

Inok
отдавливаю мозоли, дорого.
Arlekina Теоретически, можно подобрать эквивалентный; т.е. дающий точно такой же хэш.
URL
28.08.2005 в 11:57

ArLe
но если скопировать куки себе в нужную папку, то можно зайти как пользователь?
URL
29.08.2005 в 09:03

techsupport
решаем проблемы с головой!
Arlekina, именно, но при этом можно зайти на дневники, используя его cookies. На нормальных форумах 8) пароль вообще не хранится в базе данных, т.е. даже администраторы не могут его узнать.



Inok, разумеется.
URL
29.08.2005 в 09:04

techsupport
решаем проблемы с головой!
> как из cookie (допустим, форума) выцарапать свой пароль



В следующий раз задавай более конкретный вопрос, ОК? Какого именно форума...
URL
29.08.2005 в 15:19

_SpectatoR_
Я за тобой наблюдаю....
Можно поставить себе ХЕШ другого юзера и его логин, и никакой дешифрации не требуется...



Хотя китаезы уже обошли проблему MD5...



Они составили таблицу на 47 гигов с хэшами.. т.к. поиск по фалу идет гараздо быстрее чем перебор...
URL
30.08.2005 в 17:33

techsupport
решаем проблемы с головой!
> Можно поставить себе ХЕШ другого юзера и его логин



я это уже сказал:



>> при этом можно зайти на дневники, используя его cookies
URL
30.08.2005 в 17:51

techsupport
решаем проблемы с головой!
> forum.netz.ru/



Я посмотрел - там форум сделан на основе vBulletin. В ней пароли шифруются с помощью MD5 - это хэширующая функция. В кукис хранится именно хэш.



При желании и должном терпении можно попробовать перебором подобрать пароль, имея его хэш. Может получиться, если пароль не слишком длинный (три-четыре символа).
URL
31.08.2005 в 01:40

ArLe
спасибо за инфу :friend:
URL