Logge inn mot Vbulletin database

[Danny92]

Hei!

 

Jeg har et problem, jeg har lagget et logg inn script som skal logge seg inn via vbulletin databasen. vb bruker kryptering og jeg har prøvd både md5 og sha1 men ingen av dem funker eller matcher i databasen. Noen ider på på hvordan dette skal løses?

[Martin A.]

Sjekk i brukertabellen om det er lagret et salt som benyttes under innlogginen. Du kan også hvordan vB foretar innloggingen ved å se i PHP-filen for det.

[Danny92]

Har sett veldig mye i kilde koden men finner det ikke helt ut. Og hva mener du med "salt"?

[ThorB]

Har sett veldig mye i kilde koden men finner det ikke helt ut. Og hva mener du med "salt"?

salt er en tekst streng som hashes sammen passordet, sånn at i realiteten ingen av hashene som ligger i databasen er hashet opp av bare brukerens passord.så vidt jeg husker, mener jeg å ha lest en plass at hashen tar lengre tid å knekke når strengen som hashes er lengre..(er ikke helt sikker på den påstanden.. mulig det gjalt en annen hash enn md5)

 

$salt = "hemmelig";

$brukernavn = "thor";

$passord = "passord";

 

$hash = md5($salt.$passord);

Endret 13. april 2008 av ThorB

[Martin A.]

Saltet brukes for at man ikke kan ta den hashede strengen og sjekke den mot rainbow tables. Eller knekke en ved å bruke ordbok (at bruteforcingen sjekker alle ord som ligger i en ordbok mot strengen).

 

Har aldri vært borti vB, så i hvilke filer du finner innloggingsmetoden vet jeg ikke.

I IP.Board (IPB) ligger det hvertfall i ./sources/action_public/login.php , og hashen er md5( md5( $salt ) . md5( $passord ) );

[ThorB]

Saltet brukes for at man ikke kan ta den hashede strengen og sjekke den mot rainbow tables. Eller knekke en ved å bruke ordbok (at bruteforcingen sjekker alle ord som ligger i en ordbok mot strengen).

 

Har aldri vært borti vB, så i hvilke filer du finner innloggingsmetoden vet jeg ikke.

I IP.Board (IPB) ligger det hvertfall i ./sources/action_public/login.php , og hashen er md5( md5( $salt ) . md5( $passord ) );

interessant. er en stund jeg sjekka ut om salting. men du kan da vel bruke rainbow tables fordi om den er saltet?

rainbow tables er jo bare prehashed strenger lagret i en database (indeksert) som går an å gjøre oppslag mot for å kjappere knekke passordet.

 

ellers gode poeng.

Endret 14. april 2008 av ThorB

[Danny92]

Nå har jeg søkt og prøvd veldig mye og gir opp! Sikker på at ingen vet det?

[Ernie]

Passord-hash i vBulletin er md5($passord.$salt) hvor $salt hentes ut fra raden tilhørende brukeren i user-tabellen.

 

Hvis du dog skal logges inn i vBulletin-forumet også må du såklart gjøre endel mer siden vBulletin lagrer session i databasen.