S1密码是明文的啊

赤色彗星SE · 发表于 2010-1-13 15:50

15:34:20.631851 IP 192.168.44.207.53324 > 220.192332.170.80: P 839:923(84) ack 1 win 5840
      0x0000:  0050 56f2 c610 000c 2967 d82a 0800 4500 .PV.....)g.*..E.
      0x0010:  007c 1659 4000 4006 2f3d c0a8 2ccf dcc4    .|.Y@.@./=..,...
      0x0020:  2aaa d04c 0050 cc8a e41b 500e 39e7 5018 *..L.P....P.9.P.
      0x0030:  16d0 d6f1 0000 666f 726d 6861 7368 3d37 ......formhash=7
      0x0040:  6530 6532 3666 6326 6c6f 6769 6e66 6965 e0e26fc&loginfie
      0x0050:  6c64 3d75 6964 2675 7365 726e 616d 653d  ld=uid&username=
      0x0060:  打码 3331 2670 6173 7377 6f72 643d 打码打码&password=11
      0x0070:  打码打码 3126 7175 6573 7469 6f6e 6964    打码&questionid
      0x0080:  3d30 2661 6e73 7765 723d                         =0&answer=

囧，Discuz! 7.0.0没加密还是没打开加密哈-_-，之间没指定Snaplen字节数没看见密码还以为加密了，指定了200字节密码就出来鸟orz

chronicle · 发表于 2010-1-13 17:06

偷个论坛的密码有个鸟用

鸡蛋灌饼 · 发表于 2010-1-13 17:31

没可信证书的话搞个MIM就完蛋

大场香 · 发表于 2010-1-13 18:19

DZ7本来就是这样的

ov_efly · 发表于 2010-1-13 18:35

DZ 太混了
囧

拥挤的屋顶 · 发表于 2010-1-13 18:39

http 明文 dz7没有做混淆或者啥的,这就是结果

touhouproject · 发表于 2010-1-13 20:06

囧，还真有不用HASH代码传送密码的啊……

mocnsm · 发表于 2010-1-13 20:12

怪不得最近有人被盗号了

糊状物 · 发表于 2010-1-13 20:28

求国内非明文登陆论坛

逍遥虫 · 发表于 2010-1-13 20:30

论坛不都这个鸟样

赤色彗星SE · 发表于 2010-1-13 20:40

Discuz有加密功能吧？

大场香 · 发表于 2010-1-13 21:17

本帖最后由大场香于 2010-1-13 21:18 编辑

论坛程序只在服务器后台加密密码而已

数据传输加密需要用到证书

另，至少相比phpwind， discuz的加密要安全的多（有些人知道的……

赤色彗星SE · 发表于 2010-1-13 22:29

啥证书不证书的，代码里可是实现传输的密码变换吧。

大场香 · 发表于 2010-1-13 22:41

13# 赤色彗星SEXY

只要是http post方法传输，就没有加密可言，传输的数据全都可以被嗅探到（所以在国内这么多人极力推销https）

代码是在服务器端运行的，跟你的数据发送端无关

鸡蛋灌饼 · 发表于 2010-1-13 22:47

13# 赤色彗星SEXY

只要是http post方法传输，就没有加密可言，传输的数据全都可以被嗅探到（所以在国内这么多人极力推销https）

代码是在服务器端运行的，跟你的数据发送端无关 ...
大场香发表于 2010/1/13 22:41

不用证书也可以
但是和自签证书一样，防不了MIM

赤色彗星SE · 发表于 2010-1-13 23:36

13# 赤色彗星SEXY

只要是http post方法传输，就没有加密可言，传输的数据全都可以被嗅探到（所以在国内这么多人极力推销https）

代码是在服务器端运行的，跟你的数据发送端无关 ...
大场香发表于 2010-1-13 22:41

嗅探就嗅探，起码密码可以不是明文发送

鸡蛋灌饼 · 发表于 2010-1-13 23:45

嗅探就嗅探，起码密码可以不是明文发送
赤色彗星SEXY 发表于 2010/1/13 23:36

学点密码学和安全的基本知识再去考虑这个问题吧

赤色彗星SE · 发表于 2010-1-14 00:35

本帖最后由赤色彗星SEXY 于 2010-1-14 00:39 编辑

你们想多了吧，数据包没加密能被嗅探http的东西自然都看得见

我只是想说好歹把账号密码加个密不要给人随便一抓包就看得见
username=xxxx
password=xxx
这样的内容
不是考虑数据是不是被窃听，不是考虑有没有MIM这类的安全问题OK?

Kaiyuki · 发表于 2010-1-14 08:55

能想出来有效的post前加密办法的人不应该对不加密直接post大惊小怪。

hzqiji · 发表于 2010-1-14 09:12

一般密码不是都以MD5形式存放的么？校验是用用户输入的密码的MD5与数据库中的MD5比对吧？

Kaiyuki · 发表于 2010-1-14 09:13

一般密码不是都以MD5形式存放的么？校验是用用户输入的密码的MD5与数据库中的MD5比对吧？
hzqiji 发表于 2010-1-14 09:12

单一的md5已经是无数年前的事了，现在主流是盐化md5或者盐化sha1。

nimabi · 发表于 2010-1-14 13:30

mark一记

		自动登录	找回密码
密码			立即注册

S1密码是明文的啊

浏览过的版块