[MaNGOS] Complete TBC (for patch 2.1.3) Reg. page

[NO.small 29]

Nejsem si jistej :-D jestli se to bude někomu hodit REGISTRACÍ je tu na fórku až dost :-)

ta moje se ničím neliší snad jen designem a kódem ;-)

 

FAQ:

Nastavení: Hlavní nastavení je potřeba provést v souboru "data/config.cfg.php"

Kompatibilita: Tato registrace je kompatibilní s revizemi které šifrují hesla většinou je to patch "2.1.3+"[/font]

 

------ DOWNLOAD v 1.0 ------

edick.cz - Složka - DOWNLOAD

 

 

 

 

 

Edited October 3, 2007 by NO.small

[charlie 13]

Co se mi libi je tvoje grafika Jinak by jsi jeste mohl poslat email na majitele accountu.. sdelit mu web forum pravidla a takovy blbosti a poslat prihlasovaci udaje a upozornit ho, ze se nedaji rozsifrovat, takze pokud je ztrati nedostane se na acc.

[NO.small 29]

Co se mi libi je tvoje grafika Jinak by jsi jeste mohl poslat email na majitele accountu.. sdelit mu web forum pravidla a takovy blbosti a poslat prihlasovaci udaje a upozornit ho, ze se nedaji rozsifrovat, takze pokud je ztrati nedostane se na acc.

 

jenže to není jen tak :-D myslíš že mě to nenapadlo ??? :-D

a navíc .. to heslo se dá bez problému rozšifrovat :-D

 

*není to jen tak posílat mail .. z lama serveru

příklad třeba to že ne každý lama server má SMTP server ;-) musel bych to nějak promyslet aby se to dalo posílalo přez nějaký externí ..

[charlie 13]

Jak neni jen tak mail(); .. a to ze nema funkci SMTP serveru je problem server. Mohlo by se to nekde v configu treba dat vypnout.. a SHA se da rozsifrovat ? Neni to otisk stejne jako MDA ?

[NO.small 29]

Jak neni jen tak mail(); .. a to ze nema funkci SMTP serveru je problem server. Mohlo by se to nekde v configu treba dat vypnout.. a SHA se da rozsifrovat ? Neni to otisk stejne jako MDA ?

 

 

NO možná že to pro tebe zas tak složitý není :-D ale pro mě celkem jo jelikož by to byla premiéra kdy bych něco takového řešil :-)

 

a odpověd na tvou druhou otázku najdeš tu ;-) s tím že je to na způsob MDA máš pravdu...http://www.mangosproject.org/forum/index.p...ost&p=97568

[charlie 13]

Aha no, to je ale uprava celeho registracniho systemu a pridani sloupce do account coz pozbyva smysl sifrovani.. protoze ten je udelan tak, aby se nedal rozkodovat a v pripade ukradeni account tabulky tak utocnik nezjisti hesla acc.. ale takto s novym sloupcem password jo

[NO.small 29]

Aha no, to je ale uprava celeho registracniho systemu a pridani sloupce do account coz pozbyva smysl sifrovani.. protoze ten je udelan tak, aby se nedal rozkodovat a v pripade ukradeni account tabulky tak utocnik nezjisti hesla acc.. ale takto s novym sloupcem password jo

 

 

Ale tak tvoje otázka nezněla

 

ptal jsi se jestli se dá heslo rozšifrovat a já ti dal způsob jak na to .. a to že to není moc bezpečný to už je věc druhá

[charlie 13]

Jenze takhle to heslo nerozsifrujes.. jen vytvoris novy sloupec kde je nezasifrovany.. zadny rozsifrovavani

[bLuma 225]

není to mda, ale md5, obojí jsou hashovací funkce (neboli tvoří kontrolní součet) a je možné to bruteforcem zpětně nalézt. Každopádně v registračním formuláři chybí ověření hesla, stačí úklep a dotyčný nemá šanci zjistit kde je problém. A osobně bych místo htmlspecialchars() použil mysql_escape_string(), protože tam je pouze řetezec escapován, nikoliv pozměněn. Zde může dojít rovněž ke zničení login údajů...

A teoreticky bezpečnější je provést výpočet sha1 hashe v php skriptu a do db poslat hotový hash, protože stále je těžší reverzovat hotový hash než zachycené heslo si přečíst.

A koukám, že email vůbec do db nenarveš

Edited October 3, 2007 by bLuma
dodatek

[NO.small 29]

to: bluma

 

mysql_escape_string(), dobrej nápad ;-) poupravim .. a stím ověřováním hesla máš pravdu ;-) na to sem nějak zapoměl

uvažuji o stažení celé registrace dokud to nepředělám ..

[charlie 13]

není to mda, ale md5, obojí jsou hashovací funkce (neboli tvoří kontrolní součet) a je možné to bruteforcem zpětně nalézt. Každopádně v registračním formuláři chybí ověření hesla, stačí úklep a dotyčný nemá šanci zjistit kde je problém. A osobně bych místo htmlspecialchars() použil mysql_escape_string(), protože tam je pouze řetezec escapován, nikoliv pozměněn. Zde může dojít rovněž ke zničení login údajů...

A teoreticky bezpečnější je provést výpočet sha1 hashe v php skriptu a do db poslat hotový hash, protože stále je těžší reverzovat hotový hash než zachycené heslo si přečíst.

sak MD5 rikam mda.., btw. jak se to da rozsifrovat bruteforcem ? jako ze to sifrovany hada ?

Edited October 3, 2007 by charlie

[bLuma 225]

Charlie opravdu nevím kde a kdy jsi četl ale MD5 je vždy psáno jako MD5, viz oficiální RFC dokumentace - http://tools.ietf.org/html/rfc1321

A bruteforcem je myšleno, že tam proste pustíš 1,2,3,4,....,aa1,aa2,aa3,... prostě klasický bruteforce až najdeš heslo. Na md5 navíc existují na internetu stránky s databázemi, které nabízejí poměrně rozsáhlou db a tam se dá reverzovat MD5 přímo (ovšem to heslo tam může i nemusí být, po zkušenostech z minulého serveru, kde se hojně vyskytovala i hesla typu aaaaa,123456 apod si za to vetšinou uživatel může sám).

[NO.small 29]

blumo tak to eskejpování zas tak dobrej nápad nebyl :-D pořád to neřeší ten problém že to heslo se samo změní (př.: tes't zmeni na tes\'t a uživaterl ví hoby) a dotyčný uživatel se stejně pak nemůže přihlásit .. :-( takže je vlastně jedno co tam bude ..

[bLuma 225]

Musíš rozlišit co a kdy escapovat, tam kde se počítá sha1 hash je nutné mít neupravený text...

[NO.small 29]

Musíš rozlišit co a kdy escapovat, tam kde se počítá sha1 hash je nutné mít neupravený text...

 

jasný už chápu .. THX .. mrknu na to :-D

[Pepes 10]

Tyhle registrace se me libi jako grafika i stats last create acc a char fakt nice

kdyby tohle aspon bylo pro Ascent

Skusím to na ascentě a uvidíme

Edited June 30, 2008 by Pepes