Dotaz: Ako zistim ako su zakryptovane hesla v MYSQL

[trezor]

Zdravim,

chcel by som sa opýtať ako zistim ako predchádzajuci admin zakryptoval hesla v mysql. Je tam tabuľka users kde su prihlasovacie mena a hesla. Hesla su tam zakryptovane ale neviem ako a akou metodou. Prosim skuste mi poradit ako to zistim a ako to zakryptujem podobne.

Ďakujem

Odpovědi

[Josef Kufner]

Podle délky by se to dalo odhadnout. MD5 má 32 hex číslic, SHA1 má 40. Ostatně podívej se sám.

[trezor]

F7DG5gXdg8R/Y toto je to zakryptovane heslo cize 13 znakov co to moze byt ? ako to moze byt pouzite?

[Jouda]

Nemá náhodou MySQL vlastní funkci na kryptování hesel - tuším že je to password().
Viz 2.10.3. Securing the Initial MySQL Accounts.
Nebo zkuste zapokusničit s 12.10.2. Encryption and Compression Functions

[trezor]

ma a viacero, no buhuzial v tej aplikacii uz je nejake kryptovanie pouzite a chcem vediet kde sa da zistit ktore bolo pouzite

[Dejv]

Ze by ve zdrojovem kodu?

Promin, ale nejak mi to nedalo. Pises "predchádzajuci admin zakryptoval", to znamena, ze ted jsi admin ty a jedna o jeho (predchoziho admina) aplikaci (neco na intranetu?), takze zdrojaky k tomu bys mel mit.

Dejv

[svatekr]

Pokud znáš nějaké heslo z tabulky users, zkus třeba pomocí MySQL přidat nového uživatele a přiděl mu stejné heslo a zkus měnit metody kryptování MD5(heslo), password(heslo) atd. Pak to porovnej s tím originálním a máš to.

[Filip Jirsák]

To ty šifrovací funkce nepoužívají salt? To by nebylo zrovna bezpečné…

[trezor]

No ano ibaze skusil som dat to iste heslo s md5 alebo crypt() stale mi to dalo inak zakryptovane takze take jednoduche to nie ja som to skusal

[Jirik]

13 znaků = Traditional DES

Vytvoření:

mysql> select encrypt("heslo");
+------------------+
| encrypt("heslo") |
+------------------+
| GmfZFaA6jQQFM    |
+------------------+

Ověření (druhý parametr "salt" jsou první dva znaky ze zakódovaného hesla):

mysql> select encrypt("heslo","Gm");
+-----------------------+
| encrypt("heslo","Gm") |
+-----------------------+
| GmfZFaA6jQQFM         |
+-----------------------+

Myslím, že starší verze negerovaly salt automaticky a bylo třeba vygenerovat dva náhodné znaky pro uložení hesla (aby se zbytečně nedegradovala bezpečnost).