PHP - Ik ben admin, hoe check ik de passwords van de user?

[Verwijderd]

Als ik op de server vraag om het password van de users, komen er allemaal letters en cijfers door elkaar te staan zoals: CB47E70122A107799, iemand is zijn pass kwijt dus mijn vraag is nu .. hoe check ik zijn pass? (ik gebruik nu het command: select * from db_users)

[HyperioN]

Waar gáát dit over?
Wat voor soort website gaat het over? Een forum denk ik?

Die wachtwoorden worden waarschijnlijk encrypted (MD5 zo te zien) opgeslagen, die kun je niet zomaar lezen. Wel kun je zijn wachtwoord "resetten" naar een password waar de hash wel van weet..

[borstel]

Dat password is vast opgeslagen als MD5. Je zou een nieuwe pw kunnen maken bijv test, met een MD5 generator, en die er dan in zetten, kan hij weer in loggen met test, en dan later in zn config zn wachtwoord veranderen.

[Verwijderd]

HyperioN. schreef op zondag 22 oktober 2006 @ 15:23:
Waar gáát dit over?
Wat voor soort website gaat het over? Een forum denk ik?

Die wachtwoorden worden waarschijnlijk encrypted (MD5 zo te zien) opgeslagen, die kun je niet zomaar lezen. Wel kun je zijn wachtwoord "resetten" naar een password waar de hash wel van weet..

Dit gaat over; www.dk.byethost5.com, ik probeer wel ff een MD5 generator ofzo te downloaden dan

[borstel]

Verwijderd schreef op zondag 22 oktober 2006 @ 15:26:
[...]


Dit gaat over; www.dk.byethost5.com, ik probeer wel ff een MD5 generator ofzo te downloaden dan

http://www.netadvies.nl/cgi-bin/md5.cgi

[Verwijderd]

Die is verkeerdom?

Die encrypt van letters naar MD5 ... Ik moet van MD5 naar letters

[Verwijderd]

Verwijderd schreef op zondag 22 oktober 2006 @ 15:34:
Die is verkeerdom?

Die encrypt van letters naar MD5 ... Ik moet van MD5 naar letters

Dan heb je blijkbaar nog niet zoveel verstand van encryptie dmv een hash...want MD5 is one-way-only...dat betekend dat jij bij een bepaalde hash niet kan terugrekenen wat het origineel was. Wel kan je dmv een zogenaamde brute-force actie bepalen welke combinaties van letters/cijfers precies diezelfde md5 hash opleveren (deze is met 32 tekens niet uniek voor elk wachtwoord!) en zo nagaan wat het wachtwoord was. Maar dit duurt enorm lang.

En een md5 generator hoef je niet te downloaden, die zit in php ingebakken. http://www.php.net/md5


Uit veiligheids overwegingen kan zelfs jij als admin niet het wachtwoord van je gebruikers zien...dit heet privacy .
Wat jij als admin wel kan doen: het gewenste wachtwoord van je user zelf omzetten naar MD5 (via md5() in php) en dat invoegen in de database als zijn wachtwoord.

[ Voor 23% gewijzigd door Verwijderd op 22-10-2006 15:40 ]

[Verwijderd]

Maar .. Kan ik die MD5 encrypt dan uitzetten op een of andere manier .. dat het in gewone tekst komt zegmaar

[Verwijderd]

Dat zou je kunnen doen, maar dat heeft geen effect meer op de reeds opgeslagen wachtwoorden. Dit zou enkel effect hebben op de wachtwoorden van toekomstige nieuwe users...maar die zullen er niet zo blij mee zijn wanneer hun wachtwoord zichtbaar is voor de admins.

Je kan het beter zo laten zoals het nu is, en even mijn laatste zinnen van mijn post hierboven lezen .

[ Voor 17% gewijzigd door Verwijderd op 22-10-2006 15:42 ]

[HyperioN]

Nee dat kan niet, zou nogal onveilig zijn hè..

Wat je moet doen is gewoon even bijvoorbeeld de hash voor "test" genereren (098f6bcd4621d373cade4e832627b4f6) en die in de plaats van de hash zetten van de user.
Zijn wachtwoord is dan gereset naar "test". Dit kun je hem mededelen, waarna hij weer kan inloggen en vervolgens zijn password kan veranderen naar gelangen.

[Wolfboy]

Zoals iedereen hier al een paar keer heeft geprobeerd te vertellen, NEE!
MD5 is geen encryptie, het is een hash. Of je nou een wachtwoord van 4 tekens of van 10.000 tekens hebt, het blijft een 128bits hash, als dat niet zo was dan zou de grootte afhankelijk zijn van de invoer, en dat is dus niet het geval. Je zult alleen het wachtwoord kunnen resetten. En ik heb persoonlijk meer het idee dat je gewoon de wachtwoorden van mensen wil achterhalen dan dat je echt het password voor iemand wil opzoeken.

[Verwijderd]

Ok, dan zet ik het even uit voor die ene kerel, want hij heeft inmiddels al 4x een account aangemaakt, er is iets mis met zn vingers dat hij steeds verkeerde knop indrukt ofzo .. Hoe zet ik het uit dan?

[borstel]

Je kan toch gewoon een nieuwe MD5 hash aanmaken met bijv 'test', en die in de database zetten bij zijn account. Dan kan hij inloggen met zn accountnaam+test, en dan kan hij in zn profile zn wachtwoord weer veranderen, in iets wat hij wil.

lol, volgende keer vaker refreshen

[ Voor 10% gewijzigd door borstel op 22-10-2006 15:44 ]

[AtleX]

Afhankelijk van de software. Je zal in de code op zoek moeten naar de plek waar een nieuwe user opgeslagen wordt in de database. Dat is de meest waarschijnlijke plek om het wachtwoord te hashen. Let er dan wel op dat dat voor alle accounts geld. En je zal bij de logincheck ook hash eruit moeten slopen, maar dat houd wel in dat huidige users niet meer in kunnen loggen.

[ Voor 31% gewijzigd door AtleX op 22-10-2006 15:45 ]

[BasieP]

Verwijderd schreef op zondag 22 oktober 2006 @ 15:43:
Ok, dan zet ik het even uit voor die ene kerel, want hij heeft inmiddels al 4x een account aangemaakt, er is iets mis met zn vingers dat hij steeds verkeerde knop indrukt ofzo .. Hoe zet ik het uit dan?

je zou een super slechte admin zijn als je md5 uit zet op je forumpje.. gebruikers gaan er namelijk van uit dat niemand hun wachtwoord kan zien, ook jij niet. Als jij het wel zou kunnen zien zou ik me iig niet meer registreren op jouw site..

[Verwijderd]

AtleX schreef op zondag 22 oktober 2006 @ 15:44:
Afhankelijk van de software. Je zal in de code op zoek moeten naar de plek waar een nieuwe user opgeslagen wordt in de database. Dat is de meest waarschijnlijke plek om het wachtwoord te hashen. Let er dan wel op dat dat voor alle accounts geld. En je zal bij de logincheck ook hash eruit moeten slopen, maar dat houd wel in dat huidige users niet meer in kunnen loggen.

Inderdaad, het kan wel...maar handig is het niet. En ik raad het dan ook niet aan.

Als ik jou was TS zou ik gewoon de tips die hierboven genoemd worden opvolgen...een tijdelijk wachtwoord geven aan die gast .

[Verwijderd]

Ik zeg toch ...... Ik zet het alleen uit voor die ene kerel, dus AAN voor de rest ............

[HyperioN]

Verwijderd schreef op zondag 22 oktober 2006 @ 15:47:
Ik zeg toch ...... Ik zet het alleen uit voor die ene kerel, dus AAN voor de rest ............

Ja dat kan niet lijkt me.

[Verwijderd]

[ Voor 100% gewijzigd door Verwijderd op 22-10-2006 15:53 ]

[AtleX]

Juist, en dat kan die gozer niet meer inloggen want op z'n ongecodeerde wachtwoord in de database matched niet met de hash van z'n ingevulde wachtwoord. En dus ben je dan weer terug bij af.

En ik zou je vriendelijk willen vragen om wat normaler te doen. Mensen spenderen hier hun kostbare (vrije) tijd om jou te helpen. Met zo'n reactie jaag je nogal wat mensen tegen je in het harnas en dat is niet echt bevordelijk voor de sfeer hier.

[ Voor 39% gewijzigd door AtleX op 22-10-2006 15:53 ]

[Verwijderd]

HyperioN. schreef op zondag 22 oktober 2006 @ 15:49:
[...]

Ja dat kan niet lijkt me.

Oh dat kan best hoor .

[Verwijderd]

Of je probeert zoiets:

Modbreak:

Knip; post maar geen manieren om beveiligingen te doorbreken. Zie ook Het algemeen beleid #security

[ Voor 65% gewijzigd door F_J_K op 22-10-2006 16:15 ]

[F_J_K]

Jasparov, het moge duidelijk zijn: dit is niet de manier waarop je het wilt gaan doen. Als je zonodig iemand die er helemaal niet uit komt wilt helpen, maak dan zelf een account aan en stuur hem het wachtwoord op. Heb je helemaal je doel bereikt. Er is geen enkele reden om een wachtwoord te achterhalen, die kan je gewoon resetten. Andere manieren klinken heel erg alsof je juist zonder toestemming andermans wachtwoord wilt achterhalen...

offtopic:
Over je bericht dat je hebt weggedit: hoe dan ook is het niet de bedoeling om zo te reageren naar mensen die met jou meedenken...

[Verwijderd]

/me postte per ongeluk

[ Voor 204% gewijzigd door Verwijderd op 22-10-2006 16:26 ]