Hallo zusammen,

mir fiel gerade mal eine These ein: Per SQL injection wird meine gesamte userdatenbank gezockt, die php-files sind nicht erreichbar.

Wäre es nicht sinnvoller, die registrierte emailadresse und das benutzerpasswort nicht nur einmal md5 hashen zu lassen, sondern z.B. 732mal? serverressourcen sind an der stelle vorhanden, das soll nicht das problem sein.
Mein gedanke geht dagegen, dass rainbow table cracking erfolgt hat.

richtig oder falsch gedacht?

beste grüße,

todesstern.

*edit: sorry für den titel, kenn den nicht mehr ändern -_-'

seh gerade keinen sinn mail&pass mehrmals überprüfen zu lassen, wenn eine injection erfolgt? da musst du eher gucken, wo die ausführung von eingeschleusten code möglich wird, oder liege ich da falsch?

"selbermachen rockt am meisten :D" - -LeJean-

nicht das es falsch verstanden wird, es soll nicht um die überprüfung der daten gehen, sondern bevor sie in der datenbank aufgenommen werden, sollen sie mehrmals verschlüsselt werden.

aber das hat doch nichts mit einer injection zu tun?!

klar könntest du das passwort 732mal verwursteln lassen, aber ob es sinn macht ist die andere seite (z.b. welchen anwendungszweck die seite hat). damit entgehst du aber nicht irgendwelchen injections, wenn denn kein rainbow table cracking erfolgt hat.

Zitat:

Eine wirkungsvolle Möglichkeit, den Einsatz von Rainbow Tables zum Entschlüsseln zu verhindern, ist es, Hash-Funktionen mit Salt einzusetzen. Durch den Salt wird erreicht, dass vorberechnete Tabellen ohne diesen Salt unwirksam sind.

*e*

Zitat:

häng dich nicht an der methode auf, wie man an die datenbank kopieren kann, sondern lediglich, was man tun kann um sensible userdaten (logindaten) darin verschlüsseln kann.

"selbermachen rockt am meisten :D" - -LeJean-

häng dich nicht an der methode auf, wie man an die datenbank kopieren kann, sondern lediglich, was man tun kann um sensible userdaten (logindaten) darin verschlüsseln kann.

Wie oben gesagt, einen Salt verwenden. Noch einfacher geht es mit einem Praefix (letztendlich auch irgendwo ein Salt):

Quellcode:$hash = md5sum('s3cr1t' . $input) Beim Checken und Passwort Aendern geheimes Praefix prependen (Suffix ginge natuerlich auch) und schon geht weder Dictionary- noch Rainbow-Attack.

Allerdings musst du dann aufpassen, dass keiner das Praefix auslesen kann -- wenn du eh schon SQL Injections drin hast... :>

mwcollect - mein Projekt | oxlog - mein blog | happyhardcore.com Stream - gute Musik