Комментарии к записи: Сила MD5: почему MD5 и как применять на практике

Автор: voff

voff — Fri, 01 May 2009 08:28:16 +0000

Не совсем, самая частый тип инъекций – это когда к select запросу можно добавить union и вывести значения из другой таблицы, вместо тех, которые должны выводиться по замыслу програмера. При этом не update не insert ввполнить не получится.

Автор: Андрей

Андрей — Thu, 30 Apr 2009 18:38:49 +0000

voff, я в инекциях не силён, в чём принципиальная разница между insert и update? Если можно сделать insert, то можно и replace сделать, если это mysql…

Автор: voff

voff — Thu, 30 Apr 2009 09:33:04 +0000

Андрей, согласен с тобой, но sql инъекции довольно редко позволяют выполнять update, чаще всего только insert.

Автор: Андрей

Андрей — Thu, 30 Apr 2009 09:17:27 +0000

voff, цель хеширования — не дать узнать пароль. Если есть доступ на выполнение SQL, то можно сделать update users set password=md5(‘12345′).

Решение зависит от задачи, если задача скрыть пароль, то хеш помогает, если другая, то надо думать

Автор: voff

voff — Thu, 30 Apr 2009 06:05:27 +0000

Андрей, если есть доступ и к исходникам и к базе, то зачем еще что то ломать? Чаще всего в следствии sql инъекции хакер просто может выводить значение полей, например логин и пасс админа, и тут соль очень даже кстати.

«а расшифровать его обратно нельзя – слишком моного возможных комбинаций»– эх… как было бы здорово… ибо «нужно проверять хеш из базы с хешем введенного пароля, который мы создаем “на лету”»

Автор: Андрей

Андрей — Tue, 28 Apr 2009 13:16:09 +0000

lispad, такой вариант прокатит только в том случае, если пользователь получил доступ к базе, но не получил доступ к исходникам.

Если к исходникам доступа нет, то такая штука усложнит перебор md5, а если есть, то ни чем не поможет. Я закладыаюсь на то, что есть доступ как к базе, так и к исходникам.

ИМХО лучший вариант — это большой хеш, который перебрать невозможно в принципе…

Автор: lispad

lispad — Mon, 27 Apr 2009 16:42:02 +0000

Щдуп, Андрей, imho как вариант можно добавлять к паролю в начало и в конец мусор потипу «D1Moning12%$^52″.
На сколько мне известно существующие таблицы не покрывают весь диапазон хешей… А только буквенные/буквенноцифровые,до 8ми или … в зависимости от крутости сервиса.

Автор: AngelOfFate

AngelOfFate — Mon, 27 Apr 2009 11:50:55 +0000

о спасибо за пример, я как раз искал нечто подобное для авторизации…

Автор: Андрей

Андрей — Mon, 27 Apr 2009 04:27:07 +0000

2 Щдуп: на сколько ваши данные важны, чтобы тратить кучу ресурсов на подбор md5? Если сильно важны и вы за них боитесь, попробуйте SHA, он, вроде, надёжнее md5… Если этого мало, поищите другие алгоритмы, с длинной ключа 512, 1024, 2048 бит…

Автор: Щдуп

Щдуп — Sun, 26 Apr 2009 16:04:02 +0000

Как бороться с подбором хэшей к паролям

Автор: Smarty

Smarty — Sun, 26 Apr 2009 15:48:03 +0000

Лучше шифровать таким способом: md5(md5($pass).$some_word)

Автор: librarian

librarian — Sun, 26 Apr 2009 15:40:10 +0000

И не забудьте про соль, а то Rainbow таблицы сейчас только ленивый не использует