PW-Problem bei dynamisch erstellter .htaccess

[Spliffster]

Hallo,

um Userverzeichnisse, die übers Web erreichbar sind, zu schützen, erstelle ich bei Verzeichniserstellung gleich noch eine .htaccess für dieses Verzeichniss mit. Was auch problemlos funktioniert. Nur soll der User auch direkt auf dieses Verzeichniss zugreifen können, wodurch sich das Problem ergibt. Denn der Apache akzeptiert anscheinend die Passwort-hashes nicht, egal ob es ein md5() oder crypt()-Hash ist. (wobei es laut Doku egal sein müsste welcher Typ für das Passwort benutzt wird, da der Apache beide unterstützen soll). Laufen tut das ganze auf einem "Apache 1.3.27". Wobei die Syntax der .htaccess und der .htusers korrekt ist.

Im Prinzip ist das Ziel ja schon erreicht, da bei Zugriffsversuch die Kennwortabfrage erscheint, nur wäre es gut wenn der User auch direkt auf das Verzeichniss zugreifen könnte, ich also irgendwie einen korrekten PW-Hash erstellen könnte.

MfG

[reallife]

Hi,

1. stimmt der pfad zur .htpasswd in der .htaccess?
2. unter welchem system willst du es laufen lassen? unix od. windows?
-> ich glaube unter windows musst du md5 verschlüsselung verwenden
-> unter unix gibts glaube keine einschränkung

Sollte dir das nicht weiterhelfen kannst du hier mal nachlesen


greatz
rl

[Spliffster]

Der Pfad stimmt, ist auch der absolute Pfad zur Datei.
Laufen soll das ganze erstmal auf meinem Webspace der auf ner Suse9.2 Kiste läuft, also Unix.

Um später Konflikte zu vermeiden, wollte ich gleich einen md5-Hash benutzen. Nur stimmt, wie gesagt, der vom Apache erzeugte PW-Hash nicht mit dem von php erzeugten Hash überein, egal welchen Algorithmus ich verwende.

Ich hatte zum Vergleich auch mal per Confixx eine .htaccess + .htpasswd erzeugt, wobei dort als Passwort ein crypt()-Hash rausgekommen ist. Nur stimmt der wiederum nicht mit dem von php erstellten Vergleichshash überein, egal ob ich den "Salt"-Wert des "Apache"-Hashes übernehme oder nicht.

[reallife]

Ich hatte zum Vergleich auch mal per Confixx eine .htaccess + .htpasswd erzeugt, wobei dort als Passwort ein crypt()-Hash rausgekommen ist. Nur stimmt der wiederum nicht mit dem von php erstellten Vergleichshash überein, egal ob ich den "Salt"-Wert des "Apache"-Hashes übernehme oder nicht.

Die erzeugten Crypt-Hashes unterscheiden sich auch immer wieder. Du bekommst für den String "hallo" nicht jedesmal beim verschlüsseln den gleichen Hash.

Schau Dir doch mal den Link an den ich im letzten Beitrag gepostet hab.

greatz
rl

[wahsaga]

Original geschrieben von reallife
Die erzeugten Crypt-Hashes unterscheiden sich auch immer wieder. Du bekommst für den String "hallo" nicht jedesmal beim verschlüsseln den gleichen Hash.

doch, wenn du das gleiche salt nimmst, dann schon.

[reallife]

hmm, hast recht. hab ich gerade auch gelesen..

Ist kein Salt-Argument angegeben, wird es von PHP nach dem Zufalls-Prinzip erzeugt.

[slarti]

das problem mit verschiedenen md5-hashes hatte ich auch mal bei php/ldap
problem war, das php den eigentlich binären hash nochmal in hex umwandelt
konnte das problem dann mit

$ldapHash=base64_encode(pack('H'.strlen($str), $str)); 

...beheben, wobei $str der wert ist, wie er von php/md5() zurückgegeben wird

[Spliffster]

Hmm, bringt leider auch nicht das gewünschte Ergebnis. Trotzdem danke.

MfG