:oalso ich soll das ganze nochmal mit nem myhash passwort versuchen? Und wie mache ich so ein Passwrt? Sry aber ich glaube es gibt so generator dafür oder?
MySQL-Passwort auslesen
-
-
PHP
<?php // Funktion myhash() einbinden echo myhash("meinPasswort"); ?>
Damit kannst du dir erstmal dein Passwort so ausgeben lassen wie du es dann über phpmyadmin eintragen kannst, als myhash()-hash. -
Und dann schleunigst die Datei löschen.
Wenn du Accounts erstellen können willst, musst du schon beim Einfügen das Feld auf den Hashwert setzen, also sowas wie "INSERT INTO `users` (`name`, `pass`) VALUES ( '" . mysql_real_escape_string($neuername) . "', '". mysql_real_escape_string(myhash($neuespasswort)) . "')" -
Und dann schleunigst die Datei löschen.
Ich geh natürlich davon aus, dass er diese Datei nur auf seinem (geschützten) localhost hatWenn du Accounts erstellen können willst, musst du schon beim Einfügen das Feld auf den Hashwert setzen, also sowas wie "INSERT INTO `users` (`name`, `pass`) VALUES ( '" . mysql_real_escape_string($neuername) . "', '". mysql_real_escape_string(myhash($neuespasswort)) . "')"
Das mysql_real_escape_string() beim Passwort stört zwar nicht, ist aber überflüssig, da myhash() keine potentiell gefährliche Strings zurückliefert. -
ja cool ich habe es ausprobiert und leider steht dann da ein Fehler Script: undifinded function myhash()
Soll ich davor irgendwo die Funktion einfügen? -
ja cool ich habe es ausprobiert und leider steht dann da ein Fehler Script: undifinded function myhash()
Soll ich davor irgendwo die Funktion einfügen?Ich meinte definieren
-
Ja, das wäre hilfreich
Es sei denn du möchtest gerne, dass der Fehler weiterauftritt. -
das ist mir auch klar
Nur was soll ich dann da rein schreiben?
function myhash() {
....
} -
Nur was soll ich dann da rein schreiben?
Lerne bitte mal die Grundlagen und lese die Antworten!PHP
Alles anzeigen<?php error_reporting(E_ALL); function myhash($str) { return hash('sha512', 'v2dnou9ud' . hash('whirlpool', $str . 'uoucolsißv21', true)); // Das Gebrabbel durch eigene, zufällige, geheimgehaltene Strings ersetzen } define('MYSQL_ADDR', '127.0.0.1'); define('MYSQL_USER', '*******'); define('MYSQL_PASS', '******'); define('MYSQL_DATABASE', '***********'); : : : ?> -
achso stimmt ja danke sry ich stand iwie aufm schlauch jez hab ichs bb
-
Ja, schon okay.
Ich habe nur gedacht, es interresiert dich, dass ich einen Cookie_hash (Zufallszahl von 6 Zeichen) generiere, wenn sich der User registriert und gebe diese dann im Hash weiter.
Sorry, hab deine Frage nicht richtig verstanden
MfG
[C]arp[h]unter
-
Was macht cookie_hash? Das wird in einem Cookie gespeichert? Das macht keinen Sinn, und wenn er seine Cookies löscht, kommt er nicht mehr rein…
-
Das hat mir ein bekannter geraten.
Immer wenn sich der User anmelden will, wird der Wert aus der Datenbank geholt und in den Cookie gespeichert.
Wenn sich der User das nächste Mal wieder anmeldet, "erinnert" sich die Datenbank an den User.
Ich hab mir gedacht, dass einem User auch nur eine verschlüsselte Zufallszahl zugewiesen werden kann.
Oder ist das schlecht?
MfG
[C]arp[h]unter
-
Welcher Wert landet im Cookie? Der Hash vom Passwort? Wenn du das machst, macht das Hashing ja überhaupt keinen Sinn mehr…
-
Nee.
Ich generiere neben dem Passwort nochmal eine Zufallszahl, die ich dann verschlüssle und im Feld Cookie_Hah speichere
MfG
[C]arp[h]unter
-
Du solltest den ungehashten Zufallswert im Cookie speichern und den gehashten in der DB…
-
Ja, okay.
Das meine ich ja.
Mein Cookie soll (ka. ca.:) 5 Wochen oder so halten.
Wenn sich der User in dieser Zeit nicht eingeloggt hat, muss er den Passwortvergessen- Button drücken.
Wenn sich der User jedoch anmeldet, wird der Keks um weitere 5 Wochen ab dem Datum, wo sich der User angemeldet hat, verlängert.
Ich habe gedacht, dass das noch ein wenig sicherer ist.
MfG
[C]arp[h]unter
-
Äh, naja, das klingt etwas komisch, dass man das Passwort nicht behalten kann… Solang es über HTTPS geht und nur Hashes in der DB liegen, ist es nicht sicherer oder unsicherer…
Das ist eben anfälliger als ein normaler Session-Keks, weil du nicht die IP überprüfen kannst, und fast so lange hält wie ein normales Passwort, deshalb sollte in dem Fall die Verbindung immer verschlüsselt sein. Wenn du kein HTTPS hast, ist das nicht so toll, aber dann wäre es auch besser, wenn eben nur einmal pro Session das Passwort übertragen wird, als immer wieder dieser Keks. -
Okay, ich werd's mal probieren
MfG
[C]arp[h]unter
