[Funktion] crypt

[instinctless]

Hi,,
ich schreibe mittels crypt() verschlüsselte kennwörter in eine datei.
Vorher hab ich das mit einem perl script erledigt in der es auch eine crypt funktion gibt.
In perl sieht das ganze so aus
crypt($pw,sha)
sha ist in diesem fall der mechanismus.

Die Kennwörter die somit herausfallen sind identisch mit denen derer die mit htpasswd erzeugt werden.

Die Kennwörter, die ich mittels crypt in meinem php script erstelle sind aber anders..wesenstlich länger als die von htaccess

Kann ich die generierten pws trotzdem für eine htaccess geschützte seite benutzen?

Oder gibt es gar eine möglichkeit die passwörter konform zu gestalten?

Ich habe mal mit dem Salt rumgespielt und die pws somit auf 13 zeichen gekürzt allerdings sehen die pws dann so aus.

aiovFCUlpNjjo

dies wird hervorgerufen durch
$salt = "ai";
$crypted = crypt($pw, $salt);

jemand eine idee?

[Meillo]

dann sind sie doch okay
dass sie unterschiedlich sind, je nach Salt, ist ja normal
... waren nicht die ersten zwei Zeichen der Salt?

Ich hab mir da jedenfalls mal ein kleines Script geschrieben um mir Passwörter für .htpasswd-Dateien zu generieren:

<?php
  if (isset($_POST['password'])) {
    $random = rand();
    $chars = './0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz';
    $salt = substr($chars, rand() % 64, 1).substr($chars, (rand()/13) % 64, 1);
    $salt = substr($salt,0,2);

    echo 'crypted password is: '. crypt($_POST[password], $salt);
  }
?>
  <hr />
  <form action="<?php echo $_SERVER[PHP_SELF]; ?>" method="post" enctype="multipart/form-data">
    <input name="password" type="password" value="" />
    <input name="crypt" type="submit" value="crypt" />
  </form>

... gibt's hier auch online.
(Wobei klar sein dürfte, dass man nur mit seinem eigenen Script wirkliche Passwörter generieren sollte ... wer weiß schließlich was ich alles mitlogge )

EDIT:

---

Anführungszeichen bei $_POST['password'] ergänzt - mein Dank dafür gilt Shurakai

---

[instinctless]

Hi,,mehr wollt ich garnicht wissen :-)

Hab mir dein script angesehen.
Zeile 3
$random = rand();

kannste wohl streichen das du die variable eh nicht verwendest.

[instinctless]

dabei fällt mir grade noch zu dem thema ein,,mit
exec()
oder
system()
könnte man auch htpasswd direkt einbinden und die so generierten verschlüsselten pws nehmen.

[Meillo]

Original geschrieben von instinctless
Zeile 3
$random = rand();

kannste wohl streichen das du die variable eh nicht verwendest.

stimmt

Original geschrieben von instinctless
dabei fällt mir grade noch zu dem thema ein,,mit
exec()
oder
system()
könnte man auch htpasswd direkt einbinden und die so generierten verschlüsselten pws nehmen.

... wenn du unbedingt ein _mögliches_ Sicherheitsloch aufmachen möchtest
Bei mir jedenfalls sind exec() und system() deaktiviert ... und solange ich irgendwie darauf verzichten kann, bleibt das auch so.

Nicht, dass sich da gleich Scheunentore öffnen würden (wenn man nicht grob fahrlässig handelt), aber es muss ja nicht sein ....

[Shurakai]

OffTopic:

---

Meillo, für $_POST[password] solltest du erschlagen und erhängt werden.....

---

[Meillo]

Original geschrieben von Shurakai

OffTopic:

---

Meillo, für $_POST[password] solltest du erschlagen und erhängt werden.....

---

wöööössshalb? *ganz unschuldig fragt*

du meinst doch nicht die Anführungszeichen, oder?

EDIT:

---

okay, ich habe recherchiert:
hier ist erklärt weshalb da Anführungszeichen hin müssen

... dann mal danke Shurakai!
und ich verspreche mich zu bessern

---