Question

好的，这是我的问题，我正在尝试使用数据库中的信息为辅助帐户创建更改密码脚本。但是，主帐户的密码以md5进行哈希处理。无论我尝试什么，我都无法在进行比较时得到base64 / md5代码。

这是我用来将信息输入第二个帐户的数据库的代码。

$nametrim = StrToLower(Trim($ya_username));
$pwdtrim = StrToLower(Trim($user_password));
$Salt = base64_encode(md5($nametrim.$pwdtrim, true));
$result2 = $db->sql_query("call adduser('$nametrim', '$Salt', '0', '0', '0', '$rmad', '$ya_user_email', '0', '0', '0', '0', '0', '0', '0', '', '', '$Salt')") or die ("Can't execute query.");

主帐户和辅助帐户注册正常，没有问题，尝试重新创建base64代码时，我的更改密码脚本出现问题。

$unametrim = StrToLower(Trim($uname));
$unamemd5 = md5($unametrim);
$Salt1 = base64_encode($unamemd5.$upass);

我应该注意，当从数据库中提取时，$ upass已经在MD5中，因此我只是MD5的用户名。无论我尝试什么，我都无法让它们匹配。

以下是我的更改密码页面的其余部分作为参考，希望有人可以帮我解决这个问题。

<?php
/****************************************************************************/
/*  Generated by Module Creator - By Disipal Designs (www.disipal.net)      */
/*  PHP-Nuke Tools v4.00                                                    */
/****************************************************************************/
if (!defined('MODULE_FILE')) {
   die ("You can't access this file directly...");
}
require_once("mainfile.php");
$module_name = basename(dirname(__FILE__));
get_lang($module_name);
include("header.php");
define('INDEX_FILE', true);
global $userinfo, $db;
$fname=substr(strrchr($_SERVER['PHP_SELF'],'/'), -(strlen(strrchr($_SERVER['PHP_SELF'],'/')) -1));
$uname = $userinfo['username'];
$upass = $userinfo['user_password'];
$unametrim = StrToLower(Trim($uname));
$unamemd5 = md5($unametrim);
$Salt1 = base64_encode($unamemd5.$upass);
$result = $db->sql_query("SELECT * FROM users WHERE name='$unametrim'") or ("Can't execute query.");
$row = $db->sql_fetchrow($result);
$uid = $row['ID'];
$aname = $row['name'];
$passwd = $row['passwd'];
$passwd2 = $row['passwd2'];
$ipno = $row['idnumber'];
$rmad = $_SERVER['REMOTE_ADDR'];
OpenTable();
echo "<p align='center'><b><u>Change Game Account Password</u></b></p>";
if (isset($_POST['upass'])) {
$funame=$_POST['uname'];
$fpasswd=$_POST['pass1'];
$fpasswd2=$_POST['pass2'];
$fupass=$_POST['upass'];
$encryptpass = md5($fupass);
$encryptpasswd = md5($fpasswd);
$encryptpasswd2 = md5($fpasswd2);
$nametrim = StrToLower(Trim($funame));
$pwdtrim = StrToLower(Trim($fupass));
$Salt = base64_encode(md5($nametrim.$pwdtrim, true));
if ($fpasswd == $fpasswd2) {
    $db->sql_query("CALL changePasswd ($result->quoteSmart'$nametrim', '$Salt')");
    $db->sql_query("CALL changePasswd2 ($result->quoteSmart'$nametrim', '$Salt')");
    echo "<p align=\"center\"><b>Game account password has been changed successfully</b></p>";
    echo "<form method=\"POST\" action=\"modules.php?name=Change_PW\"><p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Continue\"></p></form>";
}
}
if (isset($_POST['passwd1'])) {
$funame=$_POST['uname'];
$fpasswd=$_POST['passwd1'];
$fpasswd2=$_POST['passwd2'];
$fupass=$_POST['upass'];
$encryptpass1 = md5($fupass);
$encryptpasswd = md5($fpasswd);
$encryptpasswd2 = md5($fpasswd2);
$nametrim = StrToLower(Trim($funame));
$pwdtrim = StrToLower(Trim($fpasswd));
$Salt = base64_encode(md5($nametrim.$pwdtrim, true));
if (empty($fpasswd) || empty($fpasswd2)){
    echo "<p align=\"center\"><b>You cannot leave the password field blank</b></p>";
    echo "<form method=\"POST\" action=\"modules.php?name=Change_PW\"><p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Continue\"></p></form>";
} else {
    if ($encryptpasswd == $encryptpasswd2) {
        $db->sql_query("CALL changePasswd ($result->quoteSmart'$nametrim', '$Salt')");
        $db->sql_query("CALL changePasswd2 ($result->quoteSmart'$nametrim', '$Salt')");
        echo "<p align=\"center\"><b>Game account password has been changed successfully</b></p>";
        echo "<form method=\"POST\" action=\"modules.php?name=Change_PW\"><p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Continue\"></p></form>";
    } else {
        echo "<p align=\"center\"><b>Passwords did not match, please try again</b></p>";
        echo "<form method=\"POST\" action=\"modules.php?name=Change_PW\"><p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Continue\"></p></form>";
    }
}
}
if (isset($_POST['upass']) || isset($_POST['passwd1'])) {
} else {
if ($passwd != $Salt1) {
    echo "<p align=\"center\"><b>Your game account password does not match your web account.</b><br>Update game account password to match web account?</p>";
    echo "<p align=\"center\"><form method=\"POST\" action=\"modules.php?name=Change_PW\">
    <input type=\"hidden\" name=\"uname\" value=\"".$uname."\">
    <input type=\"hidden\" name=\"upass\" value=\"".$upass."\">
    <input type=\"hidden\" name=\"pass1\" value=\"".$passwd."\">
    <input type=\"hidden\" name=\"pass2\" value=\"".$passwd2."\">
    <p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Update Password\"></p>
    </form></p>";
} else {
    if (isset($_POST['passwd1'])) {
        echo "<form method=\"POST\" action=\"modules.php?name=Change_PW\"><p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Continue\"></p>";
    } else {
        echo "<p align=\"center\"><form method=\"POST\" action=\"modules.php?name=Change_PW\">
        <input type=\"hidden\" name=\"uname\" value=\"".$uname."\">
        <p align=\"center\">New Password:<br><input type=\"password\" name=\"passwd1\"\"></p>
        <p align=\"center\">Confirm Password:<br><input type=\"password\" name=\"passwd2\"\"></p>
        <p align=\"center\"><input type=\"submit\" name=\"submit\" value=\"Change Password\"></p>
        </form></p>";
    }
}
}
echo "Test Area<br>Salt: $Salt1<br>Passwd: $passwd<br>unametrim: $unametrim<br>unamemd5: $unamemd5<br>upass: $upass";
CloseTable();
include("footer.php");
?>

关于我在这里可以做什么的任何想法，多年来一直在研究这个问题，并且无法弄清楚如何让它正常工作。

Answer 1

看起来你需要重新考虑你实际想要完成的任何事情的整个方法，因为你看来试图做的事情根本不可能，因为MD5的性质或任何cryptographic hash function 。

当您只有一个值的加密哈希而不是原始值时，出于所有实际目的，不可能对该值进行任何进一步的操作。

我应该注意，当从数据库中提取时，$ upass已经在MD5中，因此我只是MD5的用户名。无论我尝试什么，我都无法让它们匹配。

这是因为没有任何意义可以与md5（'foo'）结合使用以获得与md5（'foobar'）相同的结果。哈希不能连接，就像它们无法逆转一样。

md5('foo')     = acbd18db4cc2f85cedef654fccc4a4d8 
md5('bar')     = 37b51d194a7513e45b56f6524f2d51f2 
md5('foobar')  = 3858f62230ac3c915f300c664312c63f

你没有显示盐值实际存在的代码或存储在数据库中的位置，但它可能必须存储在某个地方，或者假设它是通常意义上的盐是没有意义的。 ..所以你要做的就是简单地获取和重用它，因为如果你手头没有明文版的密码，就不可能重新生成它。

当然，这里有一个盐的事实表明，密码可能甚至不是你认为密码的md5值所代表的。盐的一点是你存储md5（你要保护的东西+盐），这样如果你有安全漏洞，那么你存储的东西就不容易在表like the one this site has中查找。（他们不是“解码”MD5 - 这是不可能的。他们有哈希表和产生这些哈希的值。我用作例子的三个md5值当然是可怕的密码，但是那个网站有三个已经查找表...存储为没有盐的MD5的密码更容易破解。

在我询问用户是否要将一个密码更改为另一个密码后，我看到的唯一其他选项是实际要求他们“确认”他们的主密码，这样您就有机会获得自己的手在密码的纯文本版本上，当然，在对其进行操作之前，您应该验证它是真实的。

如何从MD5＆amp;获得相同的结果BASE64_ENCODE

1 个答案: