PHP crypt() 返回错误答案

Question

我想我在这里失去了理智......我的网站遇到了一个问题，它随机停止接受登录。我现在已经能够追踪到 crypt() 的行为非常奇怪。

在我的数据库中，我有用户密码的加密版本 - 所以假设是 Og12345678。

当用户登录时，他们输入密码，我从数据库中读取盐，然后加密他们输入的内容并进行比较 - 通常这效果很好。

所以我正在做 crypt($enteredPassword, $saltFromDb) - 在这种情况下，盐当然是 Og。通常对于给定的用户密码加密工作正常。

当出现问题时（当出现问题时，这是一个永久性的更改，直到我重新启动 Apache）我发现 crypt 开始为具有相同盐的相同输入返回不同的答案。

然而，它是一致的，即一旦系统出错，crypt就会返回错误的答案，但它总是返回相同的错误答案。重复刷新页面会显示相同的输出。同样的盐也出现在新的错误的地穴结果中，所以并不是说盐在某个地方丢失了。

如果我随后重新启动 Apache 并重新运行脚本而不做任何更改，那么 crypt 的结果就会恢复到应有的样子。

我很欣赏它不是最新的 PHP (5.2.8)，但会重视对此的任何看法，包括是否是在更高版本中修复的已知错误（升级 PHP 并不是一项愉快的任务，因为许多网站仍然使用不幸的怪癖，每次升级都需要重新测试） - 如果这是一个已知的已修复错误，那么显然我会尽快将其全部升级，除此之外，将地穴外包到外部可能会更容易，因为我只在一个中使用它我的网站的常见位置。

任何意见表示赞赏。

Matt Peddlesden

--- 更新：2011 年 3 月 11 日

更正之前给出的有关操作系统的评论... - 操作系统是 Windows Server 2008 SP1 64 位。抱歉，我应该仔细检查一下，而不是假设我记得！机器是 Dell 2950 8gb Ram、Xeon 处理器。

我开始沿着 Krtek 的建议思考 - 当系统变得不稳定时，如果我生成新的 crypt() （即一个非常简单的示例，其中我将变量设置为字符串，对其进行加密，然后与地穴进行比较） - 一切都很好。当我重新启动服务器时，一切又回到了之前的计算。所以我肯定倾向于改变用于计算 crypt() 结果的算法......对于可能导致这种情况发生的任何想法？我打印了 CRYPT_STD_DES 等的值，它们在重新启动之间不会改变。

有人知道什么可能导致这种情况发生吗？

不管是什么，昨天似乎一天之内发生了两次，最奇怪的是。

感谢迄今为止的回答。

--- 更新：2011 年 3 月 16 日

只是想提供另一个更新。

这种情况仍在发生，仍然没有进一步了解原因。

如果将来有人遇到这种情况，我认为我的解决方案将是进行一些令人讨厌的 hack，将所有 crypt() 执行推送到外部 C# 应用程序，而不必依赖 PHP 来完成它们。某处出了问题，此时我能看到的唯一解决方案是将其完全从方程中删除。

当然，如果它仍然发生，知道这一点也会很有趣！ :)

谢谢大家。

Answer 1

你为什么读盐？你怎么得到盐？不同的算法使用不同的方法在输出中包含盐。

只需使用 crypt 函数的整个输出作为第二个参数：

  $crypted='Og12345678';
  if (crypt($_POST['password'], $crypted)==$crypted) {
      ....

单通道 DES？真的吗？

上次我查看时，PHP crypt 实现将调用系统提供的 crypt() 函数 - 所以如果它损坏了，那么它更有可能是你的操作系统而不是 PHP - 但你没有说你的操作系统是什么。

Answer 2

这可能是 Suhosin PHP 安全补丁影响了您的 crypt() 函数。它改变了很多加密/随机方法，可能是问题的原因。

检查 phpinfo() 并查看“suhosin”是否在页面上的任何位置。如果存在，请考虑在 php 配置中禁用它的某些功能。

Answer 3

我对 crypt 也有同样的问题...我在两台服务器上进行了登录检查，但是当我将其转移到最新的服务器时，它最终停止工作。我使用 md5 加密来绕过它，如下所示：
在register.php

 $encrypted = md5($_POST["pass"]);
 ...

然后在login.php

$password = md5($_POST["password"]);
 if ($password == $row["hash"])
        {
            // remember that user's now logged in by storing user's details in session
            $_SESSION["id"] = $row["id"];
            $_SESSION['username'] = $_POST['username'];
            $_SESSION['logged'] = 'Yes';
            // redirect to homepage
            redirect("index.php");
        }

我希望有帮助:)

Answer 4

我遇到了同样的问题。自从将我的 vTigerCRM 安装移至本地计算机后，使用先前存储的密码的用户登录开始失败。看起来 crypt() 在具有相同参数的不同环境中返回不同的哈希值：

在本地环境上：

SYSTEM: Windows NT 6.1 build 7601 (Business Edition Service Pack 1) i586
PHP: 5.3.5

crypt('hello world','$1$ad0000000'):

     $1$ad00000008tTFeywywdEQrAl9QzV.M1

在生产环境上：

SYSTEM: Linux 2.6.18-338.9.1.el5.lve0.8.32 #1 x86_64
PHP: 5.3.5

crypt('hello world','$1$ad0000000'):

    $1$ad000000$8tTFeywywdEQrAl9QzV.M1

Answer 5

也许这对某人有帮助..

对我来说，问题是我忘记包含这段代码：

if (!defined('PASSWORD_BCRYPT')) {
/**
 * PHPUnit Process isolation caches constants, but not function declarations.
 * So we need to check if the constants are defined separately from 
 * the functions to enable supporting process isolation in userland
 * code.
 */
define('PASSWORD_BCRYPT', 1);
define('PASSWORD_DEFAULT', PASSWORD_BCRYPT);
define('PASSWORD_BCRYPT_DEFAULT_COST', 10);
}