Burning Board Sicherheit Passwörter

[gnuroman]

Hi,

bei einem bb werden ja die Passwörter der User als MD5 Hash in einer mysql table gespeichert, d.h., derjenige, der Zugriff auf die tables hat, könnte die hashes höchstens mit rainbow tables cracken ...
Wie aber macht das board das? Es nimmt doch vom User das pw an, verschlüsselt es und vergleicht den hash mit dem abgespeicherten hash (ähnlich des pw-vergleiches auf unixoiden systemen). Könnte der Admin nicht einfach die login.php oder ähnliche Dateien dahingehend verändern, daß vor der Prüfung des hashes das pw im plaintext abgespeichert wird (z.B. indem es ineine Datei geschrieben wird)?

Weiß jemand dazu was genaueres, bzw. gibt es Beispielcode?

Danke

[Sidolin]

ja, könnte er.

[x86-64]

ist ganz easy musst nur in der login.php was einfügen oder einfach bei der registrierungsdatei die funktion md5 entfernen dann speichert er die pws sogar im klartext. Beispiele darf man glaubig nicht posten da des gegen die lizenz bestimmungen von waltlab verstösst.

[peschmae]

Jetzt mal ganz abgesehen davon dass die Verbindung eh bei den meisten Boards über http ohne s läuft und entsprechend sowieso nicht sicher ist.

MfG Peschmä

[gnuroman]

Danke, hab nebenbei noch ein bißchen php gelernt und es selber ausprobiert. Ist wirklich sehr einfach. ;) Gruß

[neonknight]

Jetzt mal ganz abgesehen davon dass die Verbindung eh bei den meisten Boards über http ohne s läuft und entsprechend sowieso nicht sicher ist.

Na ja, wie einfach ist es, den Traffic einer bestimmten Person zu sniffen, wenn sie nicht grad in deinem Netz ist?
Über Social Engineering (z.b. Phishing: versende Link auf www.Iinuxforen.de (beachte: grosses i statt kleines L) und fordere zur Account-Neugenerierung auf) ist es in der Regel einfacher als mit technischen Massnahmen.

[cane]

Der Administrator eines Servers oder einer Applikation kann generell jedes Passwort mitlesen.

mfg
cane