如何重新散列存储到我的数据库中的密码？ （PHP）

Question

我的数据库中有一些加密的密码，我想找到一种方法来显示它们。以下是它们如何保存到我的 mysql 数据库中：

function generateHash($plainText, $salt = null){

                if ($salt === null)
  {
   $salt = substr(md5(uniqid(rand(), true)), 0, 25);
  }
  else
  {
   $salt = substr($salt, 0, 25);
  }

  return $salt . sha1($salt . $plainText);
 }

        $secure_pass = generateHash($this->clean_password);

然后 $secure_pass 被保存到我的数据库中。

任何人都会有想法吗？

非常感谢 ;）

Answer 1

您绝不能显示密码。
您绝不能显示密码。
您绝不能显示密码。

对密码进行哈希处理的目的就是让这种情况变得不可能。

由于您使用的是有点不安全的哈希，因此不太可能，但您仍然无法做到。

您应该使用 SHA512 而不是 SHA1 来使这种情况更加不可能。

Answer 2

加密哈希的要点在于它几乎不可能逆转该操作。所以基本上这里的答案是否定的，你不能。

Answer 3

有无数个值会产生任何单个哈希值，因此无法准确地重现所给出的原始密码。

但是，您可以通过以下方法之一显示工作密码：

• 在用户下次登录时以纯文本形式保存密码
• 在 http://www.sha1-lookup.com/
• 使用CUDA-Multiforcer破解密码。使用 hashclash 在您的计算机上使用每个密码可能需要几年的时间。要在合理的时间内完成此操作，请使用 http://stacksmashing.net/2010/11/15/cracking-in-the-cloud-amazons-new-ec2-gpu-instances/

警告：显然，如果安全的话对您来说很重要，您不应该做以上任何事情。如果您想允许忘记密码的用户，我建议您阅读有关密码重置的内容。

Answer 4

您已通过 SHA1 运行它们 - 原始密码已被破坏且无法通过任何实际方法恢复。您可以尝试找到另一个产生相同 SHA1 的字符串，但这会付出更多的努力而不值得。

Answer 5

您无法反转哈希函数，所以...您有两个选择：

1 强制用户插入新密码或...

2 当用户再次登录您的系统时更新哈希（您可以强制踢掉允许用户登录而无需重新输入密码的 cookie 和会话）。此解决方案将允许您的用户使用旧哈希登录，同时您将旧哈希更新为新哈希。下次您的用户登录时，脚本将使用新版本的哈希来登录用户。

在此示例中，我使用 md5 作为哈希值，我想以成本 = 12 更新为 BCRYPT，但可以随意将其更改为您需要的值。从 BCRYPT 成本 = 10 更改为 BCRYPT 成本 = 12 也可以工作或任何其他组合。考虑这个例子：

$passwordFromDatabase = "0d107d09f5bbe40cade3de5c71e9e9b7"; // md5  hash of "letmein"
$passwordFromForm = $_POST['password']; // $_POST['password'] == "letmein"

if(password_needs_rehash($passwordFromDatabase, PASSWORD_BCRYPT, ["cost" => 12]) && md5($passwordFromForm) === $passwordFromDatabase){
    // generate new password
    $newPasswordHash = password_hash($passwordFromForm, PASSWORD_BCRYPT, ["cost" => 12]);
    // update hash from databse - replace old hash $passwordFromDatabase with new hash $newPasswordHash
    // after update login user
    if(password_veryfi($passwordFromForm, $newPasswordHash)){
        // user has loged in successfuly and hash was updated
        // redirect to user area
    }else{
        // ups something went wrong Exception
    }
}else{
    if($password_veryfi($passwordFromForm, $passwordFromDatabase)){
        // user password hash from database is already BCRYPTed no need to rehash
        // user has loged in successfuly
        // redirect to user area
    }else{
        // wrong password
        // no access granted - stay where you are
    }
}

我更喜欢第二个选项:)。做出你自己的选择。如果您选择第二个选项并选择不踢掉允许用户在不提供密码的情况下登录的 cookie 和会话，也可以...更改将超时发生。甚至没有人会注意到这一变化。